Por que o servidor OAuth retorna um código de autorização em vez de um token de acesso no primeiro passo?
Como fazer um provedor OAuth 2.0 que não precisa de armazenar o código de autorização e o token?