OAuth2.0 PKCE

最近好好学习了一下OAUTH2.0，发现OAUTH2.0有很多认证方式，code flow和impicit flow大家都已经很熟悉了，我来总结一下使用pkce的code flow。

顺便，这个链接可以用来参考你该使用哪种flow：

PKCE模式适用于功能逻辑主要在客户端完成的native app。因为native app没有浏览器那样的cookie支持，CP服务器没有session这样的东西来保存state参数从而防止CSRF，所以使用PKCE的code_verifier和code_challenge来防止CSRF。这里主要考虑到的威胁是，native app必须经过浏览器才能进行redirect操作，在下图的第③步中，由于使用了app的custom schemer，如果有恶意app注册了同一个schemer，则不能保证第③步的重定向会回到你的app。