「oauth」の記事

OAuth 2.0のPKCE：横取りされた認可コードをトークンに換えさせない仕組み

PKCEのcode_verifierとcode_challengeが認可コード横取りをどう防ぐか。S256の計算、サーバー側の検証、plainとダウングレードの問題、stateとの境界、PKCEでは防げないことをRFC 7636とRFC 9700に基づいて整理します。