Что такое PKCE

• code_verifier: random 43-128 chars string (unique per auth attempt)
• code_challenge: base64url(sha256(code_verifier))
• code_challenge_method: S256 (only supported)
• Authorize URL: добавляет code_challenge + method
• Token exchange: отправляет code_verifier вместо client_secret

code_verifier = base64url(random(32))   // "dBjftJeZ..."
code_challenge = base64url(sha256(code_verifier))
auth_url = authorize?client_id=X&code_challenge=CC&code_challenge_method=S256

• OAuth 2.0
• JWT
• Как настроить OAuth 2.0

PKCE (Proof Key for Code Exchange) — это механизм, который обеспечивает безопасность процесса обмена кодом авторизации в OAuth 2.0 для публичных клиентов, таких как мобильные приложения и одностраничные приложения. Он предотвращает атаки с использованием перехваченных кодов авторизации, добавляя дополнительный уровень защиты за счет использования динамически генерируемого ключа.

PKCE улучшает стандартный процесс авторизации OAuth 2.0, добавляя два важных параметра: code_verifier и code_challenge. Code_verifier — это случайная строка, создаваемая клиентом, а code_challenge — это хэш этой строки, который передается на сервер авторизации. Весь процесс можно разбить на несколько шагов:

1. Генерация code_verifier: Клиент создает случайную строку длиной от 43 до 128 символов.
2. Генерация code_challenge: Хэшируется code_verifier с использованием алгоритма SHA-256, и результат кодируется в строку Base64 URL.
3. Запрос на авторизацию: Клиент отправляет запрос на авторизацию, включая code_challenge и указание метода хэширования.
4. Получение кода авторизации: Сервер авторизации возвращает код, который клиент использует для получения токена доступа.
5. Запрос на токен доступа: Клиент отправляет запрос на получение токена, включая code_verifier. Сервер проверяет соответствие code_verifier и code_challenge.

Только если оба параметра совпадают, сервер выдает токен доступа.

Для реализации PKCE в приложении на Python можно использовать библиотеку OAuthLib. Ниже приведен пример, демонстрирующий процесс авторизации с использованием PKCE:

import os
import base64
import hashlib
import requests

# Генерация code_verifier
code_verifier = base64.urlsafe_b64encode(os.urandom(32)).decode('utf-8').rstrip('=')

# Генерация code_challenge
code_challenge = base64.urlsafe_b64encode(hashlib.sha256(code_verifier.encode('utf-8')).digest()).decode('utf-8').rstrip('=')

# URL авторизации
auth_url = 'https://authorization-server.com/auth'

# Параметры запроса на авторизацию
params = {
    'response_type': 'code',
    'client_id': 'your_client_id',
    'redirect_uri': 'your_redirect_uri',
    'scope': 'your_scope',
    'code_challenge': code_challenge,
    'code_challenge_method': 'S256'
}

# Отправка запроса на авторизацию
response = requests.get(auth_url, params=params)

# Получение кода авторизации из ответа
# ...

# Запрос на получение токена доступа
# ...

В этом примере сначала генерируется code_verifier и code_challenge. Затем отправляется запрос на авторизацию, после чего можно обработать полученный код для дальнейшего получения токена доступа.