Почему Implicit Flow в OAuth 2.0 считается устаревшим и опасным?

Implicit Flow был придуман для SPA (Single Page Applications), у которых нет бэкенда.

В этом сценарии сервер авторизации возвращает Access Token прямо в URL (в hash-фрагменте #access_token=...) после редиректа.

❌ Почему это опасно:
Токен светится в истории браузера, логах прокси-серверов и может быть украден через XSS-скрипты на странице.

✅ Современное решение:
Использовать Authorization Code Flow + PKCE. Он не передает токен в URL, а обменивает безопасный одноразовый код на токен через POST-запрос.