PKCE Proof Key for Code Exchange (RFC 7636)

ยืนยันเจ้าของการ Request OAuth2.0 grant_type authorization_code ด้วยค่า code_challenge และ code_verifier เนื่องจาก Browser อาจโดนไวรัสผู้ไม่ประสงค์ที่อาจจะทำให้มัน Hack Access Token ได้

เพิ่มเติมจาก Flow เดิมดังนี้
1.Authorization Request => client ส่งค่า code_challenge มาเพิ่มโดยเข้ารหัส
code_challenge = BASE64URL-ENCODE(SHA256(ASCII(code_verifier)))
2.Auth Server => เก็บค่า code_challenge ลง db
3.Token Request => client ส่งค่า code_verifier เป็นค่า plain มาเพิ่ม
4.Auth Server => นำค่า code_verifier มาเข้ารหัสเพื่อได้ code_challenge และนำไป compare กับค่าใน db ที่ดึงมาจากการ where ด้วย authorization_code ตั้งแต่แรกอยู่แล้ว

รูป Oauth2.0 Authorization code + PKCE Flow

อ่านเพิ่มเติม https://www.authlete.com/documents/article/pkce/index

Related posts:

This entry was posted in ไม่มีหมวดหมู่. Bookmark the permalink.