Oauth 2.0 OAuth2是否可以重定向URI，将授权代码公开给客户端应用程序？

假设我们有一个客户端SPA和一个应用程序API：

• myapp.com
• api.myapp.com

使用OAuth2授权代码流，我们需要指定一个

重定向\u uri

。我认为最好的做法是永远不要将

access\u token

或

authorization\u code

暴露在前端

我看到许多示例建议注册指向SPA和本机移动应用的客户端应用的重定向uri。例如：

是否应将重定向uri注册为

myapp.com/callback

或

api.myapp.com/callback

？每种方法的优缺点是什么