¿Qué flujo de OAuth 2.0 se recomienda para aplicaciones de una sola página y apps móviles?

Opciones

1. Implicit flow
2. Resource Owner Password Credentials
3. Authorization Code with PKCE (Opción correcta)
4. Client Credentials

Respuesta

Authorization Code with PKCE

Por qué

Las apps que corren en el dispositivo del usuario no pueden guardar un secreto (cualquiera puede inspeccionar el código).

Authorization Code + PKCE añade una 'prueba' aleatoria de un solo uso, de modo que aunque alguien robe el authorization code, no pueda cambiarlo por tokens.

Los flujos Implicit y Password están obsoletos. Client Credentials es para llamadas de servidor a servidor sin usuario.

Recuerda

Login OAuth en navegador o móvil → Authorization Code + PKCE.

Términos clave

• OAuth 2.0
• Token
• OIDC (OpenID Connect)
• CORS
• Origen (origin)
• Autorización