Authorization Code Flow

Authorization Code Flow 是 OAuth 2.0 最核心、最安全的授權流程，由 RFC 6749 Section 4.1 定義。它適合有後端伺服器的 Web 應用程式，核心設計是讓 Access Token 從不暴露在使用者的瀏覽器中。

適用情境

• 有後端伺服器的 Web 應用（Node.js、Ruby on Rails、Laravel 等）
• 可以安全儲存 Client Secret 的應用（稱為 Confidential Client）

若是行動 App 或純前端 SPA，請改用 Authorization Code + PKCE。

流程圖

sequenceDiagram
    actor User as 使用者 Browser
    participant Client as Client (後端)
    participant AuthServer as Authorization Server
    participant Resource as Resource Server

    User->>Client: 點擊「登入」
    Client-->>User: 302 Redirect
    User->>AuthServer: 使用者登入並授權
    AuthServer-->>User: Redirect to callback?code=AUTH_CODE
    User->>Client: GET /callback?code=AUTH_CODE
    Client->>AuthServer: POST /token (code + client_secret)
    AuthServer->>Client: Access Token
    Client->>Resource: GET /api/resource + Bearer Token
    Resource->>Client: 資源資料
    Client->>User: 顯示結果

詳細步驟

Step 1：組合授權請求 URL

Client 將使用者導向 Authorization Server 的授權端點：

https://auth.example.com/authorize?
  response_type=code
  &client_id=YOUR_CLIENT_ID
  &redirect_uri=https://app.example.com/callback
  &scope=read:profile
  &state=RANDOM_STATE_VALUE

參數	說明
response_type=code	告知 Authorization Server 回傳授權碼
client_id	Client 的唯一識別碼
redirect_uri	授權完成後導向的 callback URL
scope	申請的授權範圍
state	防止 CSRF 攻擊的隨機值，callback 時需驗證

Step 2：使用者授權

使用者在 Authorization Server 的頁面登入並確認授權範圍。

Step 3：收到 Authorization Code

Authorization Server 將使用者導回 redirect_uri，附帶一次性的授權碼：

https://app.example.com/callback?code=AUTH_CODE&state=RANDOM_STATE_VALUE

⚠️ 重要：收到 callback 後必須驗證 state 值是否與 Step 1 一致，以防止 CSRF 攻擊。

Step 4：用 Code 換 Token

Client 的後端向 Authorization Server 的 Token 端點發送請求：

POST /token HTTP/1.1
Host: auth.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code=AUTH_CODE
&redirect_uri=https://app.example.com/callback
&client_id=YOUR_CLIENT_ID
&client_secret=YOUR_CLIENT_SECRET

Authorization Server 回傳：

{
  "access_token": "eyJhbGciOiJSUzI1NiJ9...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "refresh_token": "8xLOxBtZp8",
  "scope": "read:profile"
}

Step 5：使用 Access Token

後端用 Authorization: Bearer header 呼叫 Resource Server：

GET /api/profile HTTP/1.1
Host: api.example.com
Authorization: Bearer eyJhbGciOiJSUzI1NiJ9...

為什麼安全？

Authorization Code Flow 的關鍵安全設計：

1. Authorization Code 是一次性的：只能使用一次，且有效期極短（通常 1 分鐘）
2. Token 交換在後端進行：client_secret 只在後端使用，不會暴露給瀏覽器
3. Access Token 不經過瀏覽器：Token 直接在後端保管，不在 URL 或瀏覽器歷史紀錄中出現
4. state 防 CSRF：防止攻擊者偽造 callback 請求

與 PKCE 的關係

OAuth 2.1 建議所有使用 Authorization Code Flow 的 Client 都應該使用 PKCE，包含有後端的 Confidential Client。PKCE 可以防止授權碼攔截攻擊（Authorization Code Interception Attack）。

→ 詳見 Authorization Code + PKCE

延伸閱讀

• RFC 6749 Section 4.1 — Authorization Code Grant
• RFC 7636 — PKCE