为什么同时使用 PKCE 和客户端秘密

Question

我是 OAuth（和 Okta）的新手。

我的理解是，PKCE 本质上使客户端秘密变得不必要。我了解公共客户需要 PKCE（这就是我正在合作的客户）。但是，Okta 配置允许两者 PKCE 和客户端密钥（请参阅附图）。为什么我两者都想要？由于我正在与公共客户合作，我不想使用公共秘密。

PKCE 是否不再需要客户端密钥？

---

Answer 1

PKCE 修复了一个非常具体的安全问题，与从身份验证服务器重定向回应用程序相关。无论哪种方式都会发生这种重定向，因此客户端密钥并不能减轻对 PCKE 的需求。