то есть rp и  клиент должны быть разными приложениями по rfc?

Вот в том-то и дело, что все стандарты написаны так, словно разными (и это ещё подразумевается моделью безопасности oauth2), но вот ты берёшь обычный веб-сервис с рендерингом на бэкенде, и нихера он на oidc не ложится :)
Можно, конечно, сделать отдельный фронт в виде SPA, который будет являться, по сути, клиентом и хранить всё в браузере, но SPA далеко не всегда оправдано (как архитектурно, так и по затратам). А лепить SPA только ради нормальной безопасной интеграции oidc - это бред.

И рождаются в итоге всякие костыли вида "будем хранить refresh token в базе RP, но зашифрованным" :)

а если выделить отдельный сервис (и всего другие сервисы его будут юзать), который будет заниматься хранением рефреш токенов и обновлением acсess токенов (рефреш токены же для этого нужны вроде).

А вот SPA который в роли клиента oidc, тоже вроде не очень безопасно. Клиенту же нужны clientId и clientSecret, и он один для приложения. Давать пользователю их подсмотреть как-то опасно. А в случае SPA, подсмотреть это дело времени, как бы там не было хитро это скрыто

По модели безопасности это задача клиента. И в целом подход oauth2 таков, чтобы никто кроме клиента, не мог имперсонировать пользователя. Как только ты это условие нарушаешь, смысл большей части oauth2 пропадает.

Клиенты могут быть public без clientSecret. Что может быть безопасным для пользователей при использовании PKCE.

два брата акробата

ты же робот

и ты тоже робот

Ну капчу прошли

а у нас есть капча?

Да

А ты не робот? Может все мы просто роботы только у некоторых код написан джунами или студентами:)

У меня, последнее время, в чатиках стали боты проходить джон рошную капчу

Обучили... Впрочем, автор роя говорит что открыт к новым вариантам капчи

определенный процент и раньше проходил, руками, с первого раза. в любом случае, надо будет поменять капчу в ближайшее

А вот и автор 😂
Спасибо за шикарного бота

на здоровье :)

я не робот. у меня и справка есть.

Любой робот сказал бы точно так же :)

это очевидная неправда, не любой