Поддерживает ли Spring Security OAuth2 поток кода авторизации с PKCE для клиентов браузера (Angular)?

Question

Аутентификация приложений браузера раньше управлялась с помощью неявного предоставления авторизационного сервера.Я успешно реализовал это, используя Spring Security Oauth .

У этого подхода есть несколько недостатков:

1. Обновление токенов не поддерживается, поэтому, когда токен истекает, нам нужнопроведите повторную аутентификацию на сервере авторизации.
2. Этот грант не рекомендуется из-за проблем с безопасностью (см. https://oauth.net/2/grant-types/implicit/ и https://tools.ietf.org/html/draft-parecki-oauth-browser-based-apps-01).

В настоящее время рекомендуемая опция использует авторизациюпоток кода с PKCE для приложений браузера.

Как это можно реализовать на сервере авторизации Spring Boot с oauth при загрузке?

Answer 1

Нет, он еще не поддерживает PKCE, хотя есть билет для него .

Обратите внимание, что поддержка OAuth в Spring Security сейчас находится на стадии перехода, покаон переносится в собственно Spring Security.Не стесняйтесь следовать этой матрице возможностей , чтобы увидеть, в каком прогрессе.