App IDを使用してシングルページアプリケーション(SPA)を保護する場合、推奨されるOAuthフローはどれか。

PKCE(Proof Key for Code Exchange)を併用した認可コードフローは、ブラウザベースのアプリで安全です。