В чем разница между implicit flow и OAuth 2.0 для веб-API?

Возможно, имелись в виду различия между implicit flow и Authorization code flow в рамках протокола OAuth 2.0 для веб-приложений. developers.google.com blog.logto.io

Implicit flow — упрощённый поток, разработанный для браузерных приложений без безопасного серверного компонента. blog.logto.io Он предназначен для быстрой доставки токенов клиентским приложениям. blog.logto.io Однако из-за рисков безопасности Implicit flow в современных стандартах не рекомендуется. devcodesthings.hashnode.dev

Некоторые различия между implicit flow и Authorization code flow:

• Необходимость согласия пользователя. developers.google.com В implicit flow оно требуется для каждого запроса токена, включая замену просроченных токенов. developers.google.com В Authorization code flow — только для первого запроса токена. developers.google.com
• Обязательное присутствие пользователя. developers.google.com В implicit flow — да, в Authorization code flow — нет, поддерживается автономное использование. developers.google.com
• Уровень безопасности. developers.google.com В Authorization code flow — высокий, есть аутентификация клиента и избегаются риски обработки токенов в браузере. developers.google.com В implicit flow — низкий. developers.google.com
• Поддержка токенов обновления. devcodesthings.hashnode.dev В Authorization code flow они поддерживаются, в implicit flow — нет. devcodesthings.hashnode.dev

Для новых проектов рекомендуется использовать Authorization code flow с расширением PKCE, а существующие проекты с использованием implicit flow — при возможности обновлять. pragmaticwebsecurity.com