将身份验证令牌传递到客户端应用程序（SPA）的正确方法

Question

我正在研究实现Auth 2.0授权流程。 只是想知道从身份验证提供程序成功重定向后将身份验证令牌传递到客户端应用程序的正确方法是什么。 Atm我在URL中传递了令牌，但是它似乎并不安全-图LeaderboardList.Add(new LeaderboardItem { Rank = place, Name = (new GetNames(item["run"]["players"])).names, Time = time }; 上的红线。我不想使用Cookie，其想法是使用https://my.app.com/sso/:token标头进行进一步的请求。