OAuth 總覽

環境與入口

生產issuer為 https://accounts.appforges.com，staging為 https://accounts-staging.appforges.com。瀏覽器用戶授權入口是對應issuer的 /oauth2/authorize，token交換是 /oauth2/token。用戶業務API為對應環境的api域名；不要把REST /v1/oauth/authorize 當成瀏覽器登錄入口。

在應用Credentials創建OAuth client，配置Public/Confidential模式、redirect URIs與allowed scopes。複製實際client_id，不把app_id當成client_id。Public client使用PKCE S256且不持有client_secret；Confidential secret只放安全後端。

用戶授權、刷新、服務token是不同流程。第一次調用用戶API見Authorization Code + PKCE。服務調用見Client Credentials，刷新見Refresh Token。