@hantsy 感谢回答。
其实我是不明白 code 方式是否多余，服务器先给我 code ，然后我拿 code 取 token 。
假如是因为认证服务器和资源服务器分离，这两个服务器需要交互，那这些过程为什么不在服务端完成。
还是不太理解 code 的意义，好像 code 只是为了拿 token 。