当在PKCE中使用授权代码流时，Azure B2C为什么要求client_secret

Question

我们的团队正在构建一个将使用B2C进行身份验证/授权的Angular应用，在这个应用中，我们希望使用带有PKCE的授权代码流来构建OpenID集成。

Azure B2C似乎支持PKCE，但是由于某些原因，它还要求我们在请求访问令牌时发送client_secret。它是否正确？在处理授权码流时，PKCE是否不应该消除对静态客户端机密的需求？

Answer 1

Web应用程序需要客户端密钥，如果您的应用程序是本地的，则不需要客户端密钥。

参考：

https://medium.com/the-new-control-plane/using-proof-key-for-code-exchange-pkce-in-azure-ad-b2c-9203fbc148fd

https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-auth-code-flow