为Google OAuth（Web服务器应用程序）禁用隐式流？

对于Web服务器应用程序，Google表示要使用应用程序类型“Web应用程序”-请参阅：

但从测试来看，这似乎允许最终用户将发送给用户的url中的响应类型从“代码”更改为“令牌”，然后允许他们在身份验证流结束时直接获取访问令牌

其他一些API提供程序在设置屏幕中为OAuth应用程序提供了一种机制，以完全禁用此验证流，这似乎是合理的

---

我在这里遗漏了什么吗？

我还没有找到一种方法来禁用Google OAuth的令牌授予类型