proof key for code exchange

kısaca pkce. oauth2.0 authorization güvenliğini artıran bir yöntem.

spa'lar gibi client secret'ları saklamanın bir dert olduğu web uygulamalarında bir code verifier oluşturulur ve session storage gibi kısa süreli tarayıcı hafızasında saklanır.

code verifier bir hash algoritmasıyla code challenge denilen başka bir karakter dizisine dönüştürülür ve sunucuya gönderilir.

istemci aurhorization code'u aldığında code verifier sunucuya gönderilir ve verifier ile challenge'ın uyuşup uyuşmadığı sunucuda kontrol edilir.

azure ad b2c spa'larda refresh token ile yeni bir access token talep etmeye kalktığınızda bir pkce yöntem diretiyor. güvenli değil, token vermezük diyor.