前端只需要做三件事

1. 跳转 authorize 时带上 code_challenge
2. 回调页用 code + verifier 换 token
3. axios 拦截器统一带 Authorization: Bearer

token 放哪

sessionStorage 够用且干净：关标签页即失效，XSS 面也更小。刷新 token 对博客这种场景属于过度设计。

request.interceptors.request.use(cfg => {
  const token = getToken()
  if (token) cfg.headers.Authorization = 'Bearer ' + token
  return cfg
})

401 处理

统一在响应拦截器里跳认证中心，业务代码永远不用关心登录态。