oauth - 我可以在没有客户端密码的情况下使用带有 PKCE 的 IdentityServer3 授权代码流吗？

Question

我希望扩展我们的 ID 服务器实例以支持移动应用程序，并希望将授权代码流与 PKCE 一起使用。由于这是一个公共客户端，我不希望将秘密存储在应用程序上，但似乎 ID3 需要一个秘密。任何人都可以确认这一点，就好像我可能需要考虑将 ID3 升级到 ID4 一样，这将成为我的时间线问题？

亲切的问候， Lastbuilders

标签： oauthoauth-2.0identityserver4identityserver3openid-connect

Answer 1

为公共客户端指定密钥不是代码 + PKCE 流程的问题。在那种情况下，它只是一个雏形，几乎没有增加更多的安全性。这就是为什么他们引入了一个完全关闭它的选项。