使用Google OIDC进行代码流和PKCE
经过试错，我发现 Google OIDC 不支持在不提供客户端密钥的情况下使用代码流程（code flow）： https://developers.google.com/identity/protocols/oauth2/native-app#exchange-authorization-...
在PKCE增强的授权码流程中保护code_verifier的最佳实践
由于PKCE现在是比隐式流更推荐的授权方法，因此我正在寻找处理代码验证器的最佳实践，并对如何完成此操作提出建议。在高级别PKCE授权流程中包括以下步骤： 在客户端上生成 code_verifier 从（1）生成 code_challenge 使用 code_challenge 击中 /...
如何在OAuth授权流程中启用Azure应用程序注册的CORS和PKCE？
我有一个纯JavaScript应用程序，尝试使用OAuth授权流程和PKCE从Azure获取访问令牌。 该应用程序未托管在Azure中，我只使用Azure作为OAuth授权服务器。 //Based on: https://developer.okta.com/blog/2019/05...
IdentityServer4 PKCE错误："转换后的代码验证器与代码挑战不匹配"
我无法使用Postman实现IdentityServer4 PKCE授权。使用在线工具创建必要的部分：选择一个随机字符串：1234567890获取它的SHA-256哈希值：c775e7b757ede630cd0aa1113bd102661ab38829ca52a6422ab782862f268...
在Azure B2C中，KMSI实际上是做什么的？
我们有一篇文档，解释了如何使用自定义策略设置Keep Me Signed In(KMSI)：https://learn.microsoft.com/en-us/azure/active-directory-b2c/custom-policy-keep-me-signed-in 好的，我们现在...
PKCE流程中我们是否真的需要client_secret来获取access_token？
我正在构建两个应用程序：前端和后端。 后端将使用Rails API + Doorkeeper Gem（oauth2提供程序）构建，而前端将使用React Native构建。 目前，我正在使用“Client Credentials Grant Flow”，目前工作正常。但是经过一段时间的研究...
OAuth 2.0 PKCE流程是否会引发冒充/钓鱼攻击？
使用OAuth 2.0 PKCE流程的安装应用程序（例如桌面应用程序/CLI/客户端库），似乎没有任何防止攻击者执行以下操作的措施： 通过使用原始应用程序获取client_id（client_id是公共的，可以轻松从浏览器栏/源代码中复制） 制作一个假应用程序来模仿原始应用程序 使用假应用...
我应该将code_verifier（具有PKCE的oauth 2.0代码授权流）存储在何处？
我目前正在使用React和Express在SSR页面上实现OAuth 2.0代码授权(PKCE)。 当客户端请求授权服务器代码时（授权服务器为后续验证创建code_challenge和code_verifier），我应该将 code_verifier 存储在哪里？我已经在独立的堆栈/基础设...
使用angular-auth-oidc-client进行PKCE代码流自动登录
我正在使用这个npm包实现PKCE代码流自动登录的概念。我尽力按照文档和示例进行操作。在我的app.component.ts构造函数中，我有以下内容： if (this._oidcSecurityService.moduleSetup) { this.doCallbackLo...