写在前面：合法学习边界

OAuth2 安全测试只在授权环境进行。

一、OAuth2 授权码模式

1

① 用户访问 → ② 跳转授权服务器 → ③ 用户授权 → ④ 回调授权码 → ⑤ 换取 Token

二、防御加固

1

PKCE · State 参数 · HTTPS · Token 过期

三、小结

OAuth2 授权码模式是最安全的认证方式。PKCE + State + HTTPS 是安全最佳实践。