Когда в проекте стоит использовать OAuth2/OIDC flow для SPA, а когда лучше выбрать другой подход?

OAuth2/OIDC flow для SPA — это аутентификация через Authorization Code + PKCE.

Использовать стоит: когда задача действительно требует этого механизма и есть понятный контракт использования.

Лучше не использовать: когда простое состояние, обычный компонент или сервис решают задачу проще.

Пример:

this.sanitizer.bypassSecurityTrustHtml(value) // только при доверенном источнике

Риск: использовать implicit flow как современный стандарт.