OAuth2.0授权码模式是目前最安全、最常用的授权流程，广泛应用于第三方登录和开放API平台。本文结合微信登录和GitHub OAuth App两个真实案例，详细讲解授权码模式的完整流程和实现要点。
授权码模式流程
授权码模式涉及四个角色：资源所有者（用户）、客户端（第三方应用）、授权服务器和资源服务器。完整流程：用户访问第三方应用，点击登录后重定向到授权服务器。用户确认授权后，授权服务器返回授权码。第三方应用用授权码向授权服务器换取访问令牌。第三方应用用访问令牌访问资源服务器的API。授权码是一次性的，且必须通过服务端到服务端的通信来交换令牌，这就避免了令牌在浏览器端暴露的风险。
授权请求构建
构建授权请求URL时，需要包含以下参数：response_type=code、client_id、redirect_uri、scope和state。state参数是防止CSRF攻击的关键，客户端生成一个随机值存入session，授权回调时校验state是否一致。redirect_uri必须与注册时的回调地址严格匹配，防止开放重定向攻击。scope定义请求的权限范围，最小化原则，只申请需要的权限。
令牌交换与刷新
服务端收到授权码后，通过POST请求向授权服务器交换令牌。请求参数包含client_id、client_secret、code、redirect_uri和grant_type=authorization_code。授权服务器验证通过后返回access_token、refresh_token和expires_in。access_token有效期通常为2小时，refresh_token有效期为30天。当access_token过期时，用refresh_token获取新的access_token，避免用户重复授权。