OAuth 2.1 相比 2.0 的简化

可用流程： ├── 授权码流（Web 应用） ├── 隐式流（SPA） ← 不安全 ├── 密码凭证流（可信应用） ← 不安全 ├── 客户端凭证流（机器对机器） └── 扩展自定义流

**OAuth 2.1 时代**

唯一用户授权流程： 授权码流 + PKCE （所有应用）

机器对机器流程： 客户端凭证流（不变，但建议 JWT bearer）