我个人理解，以用 Google 账号登录应用程序 Foobar 为例，不论是 token 还是 code ，主要都是为了 Foobar 和 google 间的交流。绝大多数场景下，应用程序 Foobar 会把自己和 google 交流的 access token 也给客户，让客户每次请求带上，是因为现在流行服务端不保持状态，所以不缓存这个 token 。
然后我现在迷惑为啥要先给 foobar 一个 code ，foobar 用这个 code 再去拿 token ？不能直接一开始就给 Token 吗？
那我这里能想到的一个好处是，code 一般比 token 要短。foobar 拿到一个 code,然后向 google 验证，这个是一个有效 code ，再得到 token ，比 foobar 拿到一个 token ，然后带着 token 向 google 验证这个 token 有效花的空间少。。
但我觉得这个优点好无力啊
请注意！
我是知道 Foobar 第一次拿到 code 后要回头向 Google 验证的。
我不是说 Foobar 一拿到 token 就信任这是个有效 token ，不向 google 验证。
我问的是，foobar 第一次就拿到 google 给的 token ，而不是 code ，它带着这个 token 向 google 验证不成吗？
谢谢
然后我现在迷惑为啥要先给 foobar 一个 code ，foobar 用这个 code 再去拿 token ？不能直接一开始就给 Token 吗？
那我这里能想到的一个好处是，code 一般比 token 要短。foobar 拿到一个 code,然后向 google 验证，这个是一个有效 code ，再得到 token ，比 foobar 拿到一个 token ，然后带着 token 向 google 验证这个 token 有效花的空间少。。
但我觉得这个优点好无力啊
请注意！
我是知道 Foobar 第一次拿到 code 后要回头向 Google 验证的。
我不是说 Foobar 一拿到 token 就信任这是个有效 token ，不向 google 验证。
我问的是，foobar 第一次就拿到 google 给的 token ，而不是 code ，它带着这个 token 向 google 验证不成吗？
谢谢
1
Select Language