桌面客户端通过本机回环地址接收登录结果时，怎样避免授权响应被其他进程截获？

# 核心结论

本机回环地址不是天然可信的安全边界。桌面客户端通过浏览器登录并在 localhost、127.0.0.1 或 [::1] 上接收授权结果时，应使用授权码流程并强制启用 PKCE，同时校验一次性的 state，将授权事务绑定到当前登录实例。监听器只能绑定回环接口，使用临时端口和不可预测的回调路径，并在事务结束或超时后立即关闭。授权服务器还必须严格校验回调地址。这样即使其他进程抢先取得或观察到授权码，也会因为缺少对应的 code_verifier 而无法兑换令牌。

如果操作系统和身份平台支持具有明确应用归属的应用链接或通用链接，可以优先使用；普通自定义协议可能被其他应用争抢注册，不能仅凭协议