PKCE: безопасный вход OAuth для приложений и браузеров

Коротко: PKCE (произносится «пикси») защищает поток кода OAuth от использования перехваченного кода. При обмене кода приложение доказывает, что оно то же, что начало поток.

Проблема

В потоке OAuth провайдер возвращается к приложению с коротким кодом. Мобильные и браузерные приложения не могут надёжно хранить секрет клиента.

Как помогает PKCE

Приложение в начале генерирует случайный секрет и отправляет только его хеш; при обмене кода оно предъявляет сам секрет. Перехваченный код без секрета бесполезен.

См. также: OAuth