authentication - google+ ログイン ボタンはどのようにトークンをクライアントに渡しますか?

Question

クライアント側での oauth2 のほとんどの実装では、ユーザーをログイン ページにリダイレクトする何らかのリダイレクトが必要です。ログインと承認が成功すると、クエリ文字列またはハッシュ フラグメント内のトークンを使用してサイトにリダイレクトされます。しかし、google+ サインイン ボタンはどのように機能するのでしょうか。リダイレクトされることはありません。ウィンドウ内でこれを行うことができ、トークンレポートを受け取るウィンドウを親ウィンドウに戻すことができることは知っていますが、その場合、ログインボタンは消費者のドメイン上の1つのページを制御する必要があります。しません。

Answer 1

外部 JavaScript をドメインにロードすると、そのページにアクセスできます。CDN から jQuery のようなものをロードする場合とそれほど違いはありません。

JavaScript は、起動された承認ウィンドウを操作して、そのウィンドウから承認オブジェクトを取得できます。クライアント ライブラリは、クライアント側でトークンを設定して使用します。サーバー側のトークンが必要な場合は、ワンタイム コード フローを実行する必要があります。これは、リダイレクトを介した通常の OAuth サーバー側フローよりも安全です。