Как работает Authorization Code Flow в OAuth?

Пользователь перенаправляется на Authorization Server, логинится, даёт согласие. Сервер возвращает authorization code на redirect URI приложения. Приложение обменивает этот code на access token через серверный запрос. Code одноразовый и короткоживущий, а обмен происходит между серверами, что исключает утечку токена через браузер.