OAuth2 PKCE与授权码安全：拦截与重放防护

概览

• PKCE 在公共客户端场景通过挑战/验证绑定授权码与请求，降低拦截风险。
• 与 state/nonce/redirect_uri 精确匹配协同防攻击。

技术参数（已验证）

• 挑战：code_challenge=BASE64URL(SHA256(code_verifier)) 与 code_challenge_method=S256。
• 校验：令牌交换时提交 code_verifier；授权服务器校验挑战一致性。
• 防护：精确匹配 redirect_uri；使用 state 关联会话并防 CSRF；对 nonce 进行重放去重。
• 公共客户端：适合 SPA/移动端；配合 DPoP/MTLS 进一步加强令牌绑定。
• 审计：记录失败与异常；设定短期授权码有效期与一次性使用规则。

实战清单

• 强制使用 S256；拒绝明文挑战；在授权服务器开启 PKCE 校验。
• 为重定向与跨域场景做专门测试；异常时给出明确错误与修复路径。
• 将授权事件纳入可观测与告警；维护风险台账。