通过PKCE拿到AccessToken

6 min read

PKCE（Proof Key for Code Exchange）是一个用于增强授权码颁发流程的安全性的机制。在OAuth 2.0中，当使用授权码流程（Authorization Code Flow）获取访问令牌时，可以使用PKCE来防止恶意应用程序盗取授权码。

下面是通过PKCE获取访问令牌的步骤：

  1. 首先，客户端应用程序生成一个随机的码（code_verifier），并进行编码。可使用Base64编码或将其转换成URL安全的字符串。

  2. 使用SHA256算法对码进行哈希，生成一个哈希码（code_challenge）。将哈希码进行Base64编码，再次进行URL安全转换。

  3. 客户端向授权服务器发起授权码请求，包括以下参数：

    • response_type：指定为"code"，表示使用授权码流程。
    • client_id：客户端标识。
    • redirect_uri：重定向URI，授权服务器用于返回授权码的地址。
    • scope：请求的权限范围。
    • code_challenge_method：指定为"S256"，表示使用SHA256进行哈希。

  4. 用户在授权服务器登录并授权应用程序访问权限。

  5. 授权服务器将授权码（code）返回给客户端。

  6. 客户端将授权码、code_verifier和其他必要参数发送给授权服务器以获取访问令牌。包括以下参数：

    • grant_type：指定为"authorization_code"，表示授权码流程。
    • client_id：客户端标识。
    • redirect_uri：之前使用的重定向URI。
    • code_verifier：之前生成的随机码（code_verifier）。
    • code：授权码（code）。

  7. 授权服务器验证授权码和code_verifier的匹配性。如果匹配成功，授权服务器将颁发访问令牌（access_token）给客户端。

通过以上步骤，客户端应用程序使用PKCE完成了授权码流程，并成功获取了访问令牌。接下来，客户端可以使用访问令牌来进行API调用。