Каким HTTP-методом следует получать токен?

Для выдачи токена обычно используют POST по HTTPS согласно контракту авторизации. Пароль, код и другие секреты не следует помещать в query-параметры URL.

Создание сессии или обмен кода на токен не является обычным чтением ресурса через GET. Сервер проверяет учётные данные, возвращает токен или устанавливает защищённую cookie и запрещает кеширование чувствительного ответа. Конкретные поля и способ хранения зависят от протокола; один выбор POST не обеспечивает безопасность.