PKCE (“piksi” diye okunur), tek sayfalık uygulamalar ve mobil uygulamalar gibi bir gizli anahtarı saklayamayan istemciler için OAuth authorization code akışına bir uzantıdır. Yetkilendirme kodunu onu isteyen istemciye bağlar; böylece kodu geri dönüş yolunda ele geçirmek onu bir token ile takas etmeye yetmez.
İstemci kullanıcıyı yönlendirmeden önce rastgele bir code_verifier üretir ve yetkilendirme isteğiyle yalnızca onun SHA-256 özetini, yani code_challenge değerini gönderir. Daha sonra kodu token ile takas ederken asıl doğrulayıcıyı gönderir. Sunucu onu özetler, kayıtlı challenge ile karşılaştırır ve yalnızca eşleşirse token verir.
PKCE’nin yalnızca mobil uygulamalar için olduğu sanılır. Güncel OAuth güvenlik önerileri, gizli anahtarını saklayabilen sunucu taraflı istemciler de dahil authorization code akışını kullanan her istemci için onu tavsiye eder; çünkü yetkilendirme kodu enjeksiyonuna karşı da koruma sağlar.
Modern Identity API’si gerçek S256 PKCE uygular: codeChallenge ile POST /identity/v1/authorize, ardından codeVerifier ile POST /identity/v1/token — özeti challenge ile eşleşmeyen bir doğrulayıcı 400 invalid_grant ile reddedilir.
Tüm sözlük maddeleri · Test teknikleri · 39 mock REST API’nin tamamı
Son güncelleme