Authentication 谷歌+；登录按钮是否将令牌传递给客户端？

大多数客户端的oauth2实现都需要某种重定向，您可以将用户重定向到登录页面，在成功登录和授权后，通过查询字符串或哈希片段中的令牌重定向回站点。但是google+登录按钮是如何工作的，它从不重定向您。我知道您可以在窗口内执行此操作，并将接收令牌报告的窗口返回到其父窗口，但在这种情况下，登录按钮必须控制消费者域上的一个页面，但事实上，它没有。如果将外部JavaScript加载到域中，它就可以访问该页面。与从CDN加载类似jQuery的内容没有太大区别

JavaScript能够使用启动的授权窗口并从该窗口检索授权对象，然后客户端库在客户端设置并使用令牌。如果需要服务器端令牌，则需要执行以下操作，这比通过重定向的典型OAuth服务器端流更安全