PKCE: безпечний вхід OAuth для застосунків і браузерів

Коротко: PKCE (вимовляється «піксі») захищає потік коду OAuth від використання перехопленого коду. Під час обміну коду застосунок доводить, що він той самий, що почав потік.

Проблема

У потоці OAuth провайдер повертається до застосунку з коротким кодом. Мобільні та браузерні застосунки не можуть надійно зберігати секрет клієнта.

Як допомагає PKCE

Застосунок на початку генерує випадковий секрет і надсилає лише його хеш; під час обміну коду він пред’являє сам секрет. Перехоплений код без секрету марний.

Див. також: OAuth