मुझे PKCE के साथ OAuth authorization code flow समझाइए।

client एक random verifier बनाता है, उसे hash करके code challenge बनाता है, और उस challenge के साथ यूज़र को authorization server पर भेज देता है। यूज़र authenticate करता है, एक बार इस्तेमाल होने वाले code के साथ वापस आता है, और client उस code तथा मूल verifier को tokens से बदल लेता है। चूंकि इस अदला बदली में verifier चाहिए, बीच में पकड़ा गया code बेकार है। OAuth 2.1 हर client के लिए, चाहे public हो या confidential, PKCE अनिवार्य करता है।

client एक high entropy verifier बनाकर उसे SHA-256 से hash करके code challenge बनाता है। वह यूज़र को authorization server पर client id, redirect URI, scopes, एक state value और वह challenge लेकर भेजता है। यूज़र log in करके सहमति देता है, और authorization server एक अल्पजीवी code के साथ वापस भेज देता है। फिर client उस code और कच्चे verifier को token endpoint पर post करता है, सर्वर verifier को hash करके देखता है कि वह उसके रखे challenge से मेल खाता है, और तभी tokens जारी करता है। PKCE का पूरा मकसद यही है: redirect से, किसी log से, या डिवाइस पर मौजूद किसी दुर्भावनापूर्ण ऐप से चुराया गया code बिना verifier के भुनाया नहीं जा सकता, और verifier ने client कभी छोड़ा ही नहीं। मैं state की जांच अलग से भी करता हूं, क्योंकि वह code पकड़े जाने की नहीं, callback पर CSRF की हिफाज़त करता है। अगर मैं API access नहीं, login कर रहा हूं तो मुझे OIDC वाले ID token की परवाह होती है और मैं उसके किसी भी claim पर भरोसा करने से पहले उसका signature, issuer, audience और nonce जांचता हूं।