Поток кода авторизации и пример PKCE с использованием OpenIddict

Question

Я наткнулся на OpenIddict и, пройдя несколько примеров кода сервера, я не смог найти то, что искал. Я надеялся увидеть пример OpenIddict, использующего поток кода проверки подлинности с PKCE, так как это кажется рекомендуемым подходом к безопасности сейчас, но не смог найти тот, который явно использует оба. Мое приложение представляет собой приложение на основе ASP.NET Core WebAPI с клиентом React. Буду признателен за любую помощь или руководство.

Answer 1

PKCE в OpenIddict работает как на любом другом сервере OIDC: вам просто нужно отправить code_challenge (и, возможно, code_challenge_method) при создании запроса авторизации.

Если вы сделаете это, OpenIddict будетсохраните его в билете с кодом авторизации и сравните его с code_verifier, который вы отправите как часть запроса токена.Если вы не отправите верификатор кода, запрос токена будет автоматически отклонен.

В версии 3.0 мы представим опцию, позволяющую отклонять запросы авторизации, не использующие PKCE, чтобы вы могли принудительноклиенты используют PKCE.