微博授权都是先获取code再去换token，为什么有的应用“跳过”了code？

[strak47]

除了站内应用，貌似都是这么个过程。我用python sdk 也经常很囧地让用户复制code来换access_token。

可是有的第三方网站应用，登录授权后回到了redirect_url的页面，但url上并没有 xxx?code=xxx 这串东西，而且实际上已经拿到了token并可以进一步调用其他API了。

所以我想请教一下那些是怎么实现的？

[hadoop]

难道不可以自己模拟登陆吗

[Mutoo]

通过透明flash的localConnection实现的。

[linuz]

lz可以看下0auth 2.0的文档，里面提到为方便移动设备webapp的隐式调用，sina调用如下：
https://api.weibo.com/oauth2/authorize?client_id=XXXXXXX&response_type=token&display=mobile&redirect_uri=https://api.weibo.com/oauth2/default.html
这样就会返回https://api.weibo.com/oauth2/default.html?access_token=2.0XXXXXXXXXXXXXXX
虽然sina 文档里面没提，但确实是实现了

[alanoy]

@linuz 你这个，response_type 我新申请的应用貌似不行，必须为 code，以前申请的应用好像就可以，太蛋疼

[belin520]

有。乌云上有一个绕过 App Secret 拿到token的bug

[linuz]

@alanoy 我刚才重新创建一个应用，这种隐式调用确实是可以使用的
创建移动应用->应用分类:网页应用 即可
授权回调页要和redirect_uri一致即可

[strak47]

@linuz 感谢回复！
我自己也发现那些应用怎么弄得了，其实他们把redirect_url设为另一个子页面，然后在这个页面处理code和token再重定向回主页面而已。

貌似有的人误解我意思了，跟模拟登录和绕过app secret什么的没关系 ：)

[alanoy]

@linuz 难道因为我创建的是移动应用么？

[linuz]

@alanoy 对，我说的那个隐式调用是为了方便web app，因为web app代码安全性太差，native app最好使用sso验证，或者利用webview来使用隐式调用