Authorization Code + PKCE: adım adım

Kavramı anlayalım

Client yüksek entropili code_verifier üretir ve S256 dönüşümünden code_challenge hesaplar. Authorization request challenge, redirect_uri, client_id, scope ve gereken koruma alanlarını içerir. Kullanıcı authorization server’da doğrulanır ve onay verir; callback’e code döner. Client token endpoint’inde code, aynı redirect bağlamı ve verifier ile exchange yapar.

PKCE code’u alan aktörün ilk isteği başlatan verifier’a sahip olduğunu doğrulamaya yardım eder. Client secret yerine aynı şey değildir: confidential client authentication ve PKCE farklı tehditlere karşı çalışabilir. Public client browser veya native uygulamada kalıcı client secret saklayamaz. Redirect URI sıkı eşleşmeli; wildcard ve kullanıcı girdisiyle açık redirect güvenli varsayılmaz.

Code kısa ömürlü ve tek kullanımlı olmalıdır. Callback hatası, iptal, timeout ve tekrar açılan sekme gibi lifecycle durumlarını ele al. state ve nonce’nin rollerini sonraki derste ayrı öğren; PKCE hepsinin yerine geçen sihirli bir alan değildir. Hazır identity kütüphanesi kullan, token exchange ve metadata doğrulamasını elle kırılgan biçimde üretme. Browser’daki akışla server-side BFF akışı aynı secret saklama modeline sahip değildir.