PKCE (उच्चारण "pixie" ) उन क्लाइंट्स के लिए OAuth ऑथराइज़ेशन कोड फ्लो का एक एक्सटेंशन है जो सीक्रेट को सुरक्षित नहीं रख सकते, जैसे कि सिंगल-पेज ऐप्स और मोबाइल ऐप्स। यह ऑथराइज़ेशन कोड को उस क्लाइंट से जोड़ता है जिसने इसे रिक्वेस्ट किया था, इसलिए वापस आते समय कोड को इंटरसेप्ट करना टोकन के बदले एक्सचेंज करने के लिए पर्याप्त नहीं है।
उपयोगकर्ता को रीडायरेक्ट करने से पहले, क्लाइंट एक रैंडम कोड_वेरिफायर जनरेट करता है और ऑथराइजेशन रिक्वेस्ट के साथ केवल उसका SHA-256 हैश, यानी कोड_चैलेंज भेजता है। बाद में जब वह कोड को टोकन में बदलता है, तो वह मूल वेरिफायर भेजता है। सर्वर उसका हैश बनाता है, उसे स्टोर किए गए चैलेंज से तुलना करता है और मिलान होने पर ही टोकन जारी करता है।
वह PKCE केवल मोबाइल ऐप्स के लिए है। वर्तमान OAuth सुरक्षा दिशानिर्देश इसे प्राधिकरण कोड प्रवाह का उपयोग करने वाले प्रत्येक क्लाइंट के लिए अनुशंसित करते हैं, जिसमें गोपनीय सर्वर-साइड क्लाइंट भी शामिल हैं, क्योंकि यह प्राधिकरण कोड इंजेक्शन से भी सुरक्षा प्रदान करता है।
मॉडर्न आइडेंटिटी एपीआई वास्तविक S256 PKCE को लागू करता है: कोडचैलेंज के साथ POST /identity/v1/authorize , फिर कोडवेरिफायर के साथ POST /identity/v1/token — एक वेरिफायर जो चैलेंज के साथ हैश नहीं होता है उसे 400 इनवैलिड_ग्रांट के साथ अस्वीकार कर दिया जाता है।
सभी शब्द · परीक्षण तकनीकें · सभी 39 मॉक REST API
आखरी अपडेट