4.1.2. 授权响应
=======================
如果资源所有者许可访问请求，授权服务器颁发授权码，通过按[附录B](../AppendixB/b.md)使用“application/x-www-form-urlencoded”格式向重定向URI的查询部分添加下列参数传递授权码至客户端：
- code    
  必需的。授权服务器生成的授权码。授权码必须在颁发后很快过期以减小泄露风险。推荐的最长的授权码生命周期是10分钟。客户端不能使用授权码超过一次。如果一个授权码被使用一次以上，授权服务器必须拒绝该请求并应该撤销（如可能）先前发出的基于该授权码的所有令牌。授权码与客户端标识和重定向URI绑定。
- state    
  必需的，若“state”参数在客户端授权请求中提交。从客户端接收的精确值。
  
例如，授权服务器通过发送以下HTTP响应重定向用户代理：

    HTTP/1.1 302 Found
    Location: https://client.example.com/cb?code=SplxlOBeZQQYbYS6WxSbIA&state=xyz
  
客户端必须忽略无法识别的响应参数。本规范未定义授权码字符串大小。客户端应该避免假设代码值的长度。授权服务器应记录其发放的任何值的大小。

- 4.1.2.1. [错误响应](4.1.2.1.md)