То что ты сказал это называтся Authorization Code flow и оно имеет некоторые уязвимости... В данный момент используют расширение этого флоу под названием Proof Key for Code Exchange https://oauth.net/2/pkce/
Такое бывает если сетевую инфраструкту обеспечивает слой с шифрованием, типо сервисмеш. Например https://www.consul.io/ Естественно из мира это HTTPS, но для сервиса это HTTP