NextJS 中的授权代码流 - 如何将 PKCE code_verifier传递给授权回调？

如果你可以把它存储在服务器端（加密它不是一个坏主意），那么这通常是更好的途径。麻烦出在重定向上，并寻找哪个code_verifier进行代币交换。您可以创建类似会话 ID 的内容，并将其用作查找的键：https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html#session-id-properties

另一种方法是加密并在 cookie 中发送它，确保对 cookie 采取适当的预防措施： https://cheatsheetseries.owasp.org/cheatsheets/Nodejs_Security_Cheat_Sheet.html#server-security cookie 应该往返于您可以解密并将其用于令牌交换的地方。这里的风险是有人可以访问和解密（如果未充分加密）您的code_verifier，因为它是通过网络调用传递的。

编辑 2023/9/2

添加一些额外的细节（最初是作为注释添加的，但它变得很长，并认为它可能对其他人有所帮助）：

使用 cookie 不需要额外的往返行程。要小心，因为客户端的使用方式略有不同。

方案中的“OAuth 客户端”是指服务器RFC6749。

client.authorizationUrl()在 open-id 中使用的只是一个占位符函数调用。它的实现应该告诉浏览器/用户代理重定向到端点的 authz 服务器。这是 authz 请求。PKCE 要求在此请求中包含 and。/authorizecode_challengecode_challenge_method

用户进行身份验证，然后将用户代理发送到redirect_uri。

在redirect_uri，您的服务器通过浏览器获取，因为用户需要能够返回到您的应用程序。code

然后，您的服务器或同一关系图中的客户端直接向 authz 服务器的端点发出请求，而不是通过浏览器发出请求。按照该图中的 （d） 操作。该请求包括 和 。/tokencodecode_verifier

Cookie 在您的服务器上创建并发送到浏览器并存储它。当用户通过浏览器发送回redirect_uri时，对服务器的调用包括 cookie。

或者，换一种说法：

1. 服务器创建一个code_verifier，加密并存储在cookie中
2. 从服务器发送到浏览器的 cookie 和 authz url
3. 浏览器存储 Cookie
4. 浏览器重定向到终结点/authorize
5. ...
6. 浏览器重定向到redirect_uri
7. 浏览器向服务器发送 cookiecode
8. 服务器解密 cookie
9. 服务器发送 并直接发送到 。code_verifiercode/token

所以，这是同样的往返，但现在只是用一块饼干。

编辑 #2 2023/9/2

更多信息可能会有所帮助：

oidc 提供程序在对用户进行身份验证后将浏览器重定向到 。“授权服务器将用户代理重定向到客户端的重定向端点”。当浏览器到达 时，它应该使用 cookie 向您的 API 发出请求。redirect_uriredirect_uri

下图可以帮助您可视化重定向部分为 （C） 的流程

 +----------+
 | Resource |
 |   Owner  |
 |          |
 +----------+
      ^
      |
     (B)
 +----|-----+          Client Identifier      +---------------+
 |         -+----(A)-- & Redirection URI ---->|               |
 |  User-   |                                 | Authorization |
 |  Agent  -+----(B)-- User authenticates --->|     Server    |
 |          |                                 |               |
 |         -+----(C)-- Authorization Code ---<|               |
 +-|----|---+                                 +---------------+
   |    |                                         ^      v
  (A)  (C)                                        |      |
   |    |                                         |      |
   ^    v                                         |      |
 +---------+                                      |      |
 |         |>---(D)-- Authorization Code ---------'      |
 |  Client |          & Redirection URI                  |
 |         |                                             |
 |         |<---(E)----- Access Token -------------------'
 +---------+       (w/ Optional Refresh Token)

（C） 假设资源所有者授予访问权限，则授权 服务器使用 之前提供的重定向 URI（在请求中或期间） 客户注册）。重定向 URI 包括 客户端提供的授权代码和任何本地状态 早些时候。

请注意，（C） 实际上有 2 行。一个从 到 （浏览器），然后另一个从 到 .这是在用户向授权服务器（或 OAuth/OIDC 提供商）进行身份验证后重定向回您的应用。授权代码包含在此行中。Authorization ServerUser-AgentUser-AgentClient

第二行 （C） 是图中 to 的那一行，是浏览器将带有加密的 cookie 与 .User-AgentClientcode_verifiercode

 +----|-----+                                 
 |          |                                 
 |  User-   |                                 
 |  Agent   |                                 
 |          |                                 
 |          |                                 
 +------|---+                                 
        |  authorization code                                             
       (C) and                                               
        |  (code_verifier) cookie                                             
        v                                               
 +---------+                                          
 |         |                                             
 |  Client |                                             
 |         |                                             
 |         |  
 +---------+