RFC 6749 (OAuth 2.0授权框架)中的图3和4

Question

在这个RFC中，我很难理解图3(授权代码流)和图4(隐式格兰特流)中的图表。

在这两种情况下(B)，它都说“授权服务器(通过用户代理)对资源所有者进行身份验证”。箭头有两个末端，一个指向资源所有者，另一个指向授权服务器。

 +----------+
 | Resource |
 |   Owner  |
 |          |
 +----------+
      ^
      |
     (B)
 +----|-----+          Client Identifier      +---------------+
 |         -+----(A)-- & Redirection URI ---->|               |
 |  User-   |                                 | Authorization |
 |  Agent  -+----(B)-- User authenticates --->|     Server    |
 |          |                                 |               |
 |         -+----(C)-- Authorization Code ---<|               |
 +-|----|---+                                 +---------------+
   |    |                                         ^      v
  (A)  (C)                                        |      |
   |    |                                         |      |
   ^    v                                         |      |
 +---------+                                      |      |
 |         |>---(D)-- Authorization Code ---------'      |
 |  Client |          & Redirection URI                  |
 |         |                                             |
 |         |<---(E)----- Access Token -------------------'
 +---------+       (w/ Optional Refresh Token)

                 Figure 3: Authorization Code Flow (actual)

在我看来，箭头应该从资源所有者转到授权服务器，因为RO必须主动输入他的凭据。

 +----------+
 | Resource |
 |   Owner  |
 |          |
 +----------+
      v
      |
     (B)
 +----|-----+          Client Identifier      +---------------+
 |         -+----(A)-- & Redirection URI ---->|               |
 |  User-   |                                 | Authorization |
 |  Agent  -+----(B)-- User authenticates --->|     Server    |
 |          |                                 |               |
 |         -+----(C)-- Authorization Code ---<|               |
 +-|----|---+                                 +---------------+
   |    |                                         ^      v
  (A)  (C)                                        |      |
   |    |                                         |      |
   ^    v                                         |      |
 +---------+                                      |      |
 |         |>---(D)-- Authorization Code ---------'      |
 |  Client |          & Redirection URI                  |
 |         |                                             |
 |         |<---(E)----- Access Token -------------------'
 +---------+       (w/ Optional Refresh Token)

                 Figure 3: Authorization Code Flow (more correct?)

不管怎样，我不明白这双箭头是什么意思。这是错误吗？我是不是漏掉了什么？

Answer 1

这意味着用户代理(浏览器)试图到达资源所有者，但随后它被重定向到授权服务器。因此，'B‘箭头不应该从资源所有者到授权服务器。