Den Code den du zurückbekommst muss beim App Anbieter erstmalig in einen Token umgewandelt werden (weil dafür das Client Secret notwendig, das du nicht preisgeben willst). Der Token Refresh kann dann beim Enduser laufen, genauso wie sämtliche API Calls, aber das erstmalige erzeugen des Token MUSS beim App Anbieter laufen.
1 „Gefällt mir“