Oauth OAauth2-使用隐式流，其中后端服务器与授权服务器相同

我知道不建议再使用隐式流，但我认为在我的情况下应该使用（但我不确定）。我们的系统仍然很小，并且我们的资源服务器没有与授权服务器分离。当用户登录到站点时，他使用post请求提供其凭据（用户名和密码），其中响应为IdToken&Access Token&Refresh Token。在我看来，在这种情况下，我应该使用隐式流

您说您有一个资源服务器和一个授权服务器，它们是结合在一起的。不过，您所说的“站点”听起来更像是“客户机”（在OAuth的意义上）。这个网站调用的API不是这对API的一部分，是吗？那是分开的，对吗？我这样问是因为“API”将是“资源服务器”，而“站点”将是“客户端”。如果你能澄清，我（或其他人）可以给你更准确/有用的答案。