PKCE（Proof Key for Code Exchange）是一種用於增強OAuth 2.0授權流程安全性的技術，特別適用於公共客戶端（如移動應用）的場景。它通過在授權請求中引入一個隨機生成的Code Verifier和一個對應的Code Challenge，以及在交換令牌時驗證這些值，從而增加了授權流程的安全性。
以下是在OAuth 2.0中使用PKCE獲取Access Token的步驟：
-
創建Code Verifier和Code Challenge：
在應用程序中生成一個隨機字符串作爲Code Verifier。然後，使用哈希函數（例如SHA-256）對Code Verifier進行哈希，生成Code Challenge。確保將Code Verifier保留在客戶端，而將Code Challenge發送到認證服務器。 -
構建授權請求：
創建授權請求，將以下參數包含在請求中：response_type: 設置爲 "code"，表示使用授權碼流程。client_id: 客戶端標識符。redirect_uri: 重定向URI，用於接收授權碼。scope: 請求的權限範圍。code_challenge_method: 設置爲 "S256"，表示使用SHA-256哈希算法。code_challenge: 上一步生成的Code Challenge。
-
用戶授權：
用戶將被重定向到認證服務器的登錄頁面，要求他們登錄並授權客戶端訪問所需的權限。 -
收到授權碼：
在用戶授權後，認證服務器將重定向用戶回到之前指定的重定向URI，並在URL參數中包含一個授權碼。 -
交換令牌：
在獲得授權碼後，客戶端將使用此授權碼進行令牌請求。構建令牌請求，將以下參數包含在請求中：grant_type: 設置爲 "authorization_code"，表示使用授權碼交換獲取訪問令牌。code: 上一步收到的授權碼。redirect_uri: 與之前發送的重定向URI匹配。client_id: 客戶端標識符。code_verifier: 之前生成的Code Verifier。
-
獲得Access Token：
認證服務器將驗證授權碼和Code Verifier的匹配性，如果匹配成功，將返回Access Token給客戶端。
總結起來，PKCE是通過引入Code Verifier和Code Challenge來增加OAuth 2.0授權流程的安全性。在授權碼交換階段，認證服務器會驗證Code Verifier和Code Challenge的匹配性，從而確保請求的合法性。這種方式特別適合用於安全性要求較高的場景，例如移動應用程序。