OAuth 总览

环境与入口

生产issuer为 https://accounts.appforges.com，staging为 https://accounts-staging.appforges.com。浏览器用户授权入口是对应issuer的 /oauth2/authorize，token交换是 /oauth2/token。用户业务API为对应环境的api域名；不要把REST /v1/oauth/authorize 当成浏览器登录入口。

在应用Credentials创建OAuth client，配置Public/Confidential模式、redirect URIs与allowed scopes。复制实际client_id，不把app_id当成client_id。Public client使用PKCE S256且不持有client_secret；Confidential secret只放安全后端。

用户授权、刷新、服务token是不同流程。第一次调用用户API见Authorization Code + PKCE。服务调用见Client Credentials，刷新见Refresh Token。