OAuth 2.0 中的 PKCE：如何保護您的 API 免受授權程式碼授予攻擊

將您的 OAuth 2.0 API 想像為一座堡壘，保護有價值的資料免於未經授權的存取。雖然授權程式碼授予流程是 OAuth 2.0 安全性的基石，但它並非沒有漏洞。其中一個威脅是授權程式碼攔截攻擊，惡意行為者可以攔截授權程式碼並使用它來獲得對您的 API 的未經授權的存取。但別害怕，因為有一位穿著閃亮盔甲的騎士：PKCE（代碼交換證明金鑰）。在本文中，我們將探討 PKCE 的工作原理、其優點以及為什麼它對保護 OAuth 2.0 API 至關重要。

OAuth 2.0 中的 PKCE 是什麼？

**PKCE（代碼交換證明金鑰）**是 OAuth 2.0 授權代碼授予流程的安全擴充。它專門設計用於解決與公共用戶端（例如行動和 Web 應用程式）相關的漏洞，這些用戶端無法安全地儲存客戶端機密。

PKCE 解決的問題

1. 授權程式碼攔截：在傳統的授權程式碼授予流程中，惡意行為者可以在用戶端不知情的情況下攔截授權程式碼並使用它來取得存取權杖。 PKCE 透過引入驗證機制來減輕這種風險，該機制確保只有目標用戶端才能用授權代碼交換存取權杖。
2. 中間人攻擊：PKCE 有助於防止中間人攻擊，攻擊者會攔截客戶端與授權伺服器之間的通訊。 PKCE 透過驗證伺服器端的程式碼驗證器，確保客戶端和授權伺服器直接通訊。 ****
3. CSRF（跨站點請求偽造）：PKCE 也可用於防止 CSRF 攻擊，即惡意網站誘騙使用者在受信任的網站上執行意外操作。透過要求在客戶端產生和驗證程式碼驗證器，PKCE 使攻擊者難以發動 CSRF 攻擊。

PKCE 的工作原理：介紹 PKCE 流程

PKCE 流程在傳統授權代碼授予流程中引入了一個新步驟。此步驟涉及客戶端產生程式碼驗證程式和程式碼質詢。程式碼驗證器是客戶端保密的隨機字串，而程式碼質詢是發送到授權伺服器的程式碼驗證器的雜湊版本。

1. **客戶端初始化：**一些文字
   • 客戶端產生隨機碼驗證器。
   • 用戶端透過使用指定演算法（例如 SHA256）對程式碼驗證器進行雜湊計算來計算程式碼質詢。
   • **授權請求：**一些文字
     • 客戶端向授權伺服器發送授權請求，請求中包含codechallenge。
     • 授權伺服器提示使用者同意授予客戶端存取所請求資源的權限。
     • **授權碼頒發：**一些文字
       • 如果使用者同意，授權伺服器向客戶端頒發授權碼。
       • **令牌請求：**一些文字
         • 客戶端向令牌端點發送令牌請求，包括授權碼和代碼驗證器。
         • 授權伺服器驗證授權碼和驗證碼器。
         • **Access Token Issuance：**一些文字
           • 如果驗證成功，授權伺服器向客戶端頒發存取權杖。

透過要求客戶端在令牌請求期間提供代碼驗證者，PKCE 確保只有產生代碼質詢的客戶端才能取得存取令牌，從而防止未經授權的存取。

PKCE 的用例

PKCE 對於以下應用特別有益：

• 無法安全地儲存用戶端機密： 行動和 Web 應用程式通常缺乏安全儲存用戶端機密的能力，使它們容易受到授權程式碼攔截等攻擊。 PKCE 提供了一個安全的替代方案。
• 需要公共客戶端： PKCE 是為公共客戶端設計的，可供公眾訪問。這使其成為需要廣泛用戶訪問的應用程式的理想選擇。 ****
• 需要防範中間人攻擊和 CSRF： PKCE 的驗證機制有助於防止這些類型的攻擊，確保授權過程的完整性。

使用PKCE的常見場景：

• 行動應用程式： PKCE 是行動應用程式的熱門選擇，因為它們安全儲存機密的能力有限。
• 單頁應用程式 (SPA)： SPA 經常與 API 公開交互，並且可以從 PKCE 的安全措施中受益。 ****
• Web 應用程式： 雖然 Web 應用程式有時可以儲存用戶端機密，但 PKCE 可以提供額外的安全層。

透過使用 PKCE，開發人員可以顯著增強其 OAuth 2.0 應用程式的安全狀況。這在當今網路攻擊風險始終存在的數位環境中尤其重要。 PKCE 可以作為授權代碼攔截、中間人攻擊和 CSRF 等常見威脅的強大防護措施。透過確保只有目標用戶端才能用授權代碼交換存取令牌，PKCE 有助於保護敏感用戶資料並防止對受保護資源進行未經授權的存取。此外，PKCE 的驗證機制還針對可能試圖利用授權過程中的漏洞的惡意行為者增加了一層額外的防禦。因此，採用 PKCE 的開發人員可以確信他們的 OAuth 2.0 應用程式能夠更好地應對現代安全挑戰，並為使用者提供安全可靠的體驗。

PKCE 的好處

PKCE 為 OAuth 2.0 應用程式提供了幾個顯著的優勢：

1. 增強安全性： PKCE 針對授權代碼攔截和中間人攻擊等常見威脅提供強大的防禦。透過要求產生和驗證程式碼驗證器，PKCE 確保只有預期的客戶端才能取得存取權杖。
2. 提高彈性： PKCE 使應用程式對安全漏洞更具彈性。即使攻擊者破壞了授權代碼，如果沒有代碼驗證程序，他們仍然無法取得存取權杖。
3. 簡化開發： PKCE 可以透過消除安全儲存客戶端機密的需求來簡化開發。這降低了意外暴露的風險並簡化了應用程式的架構。
4. 更廣泛的兼容性： PKCE 受到各種 OAuth 2.0 提供者和庫的廣泛支持，可以輕鬆整合到不同的應用程式和環境中。 ****
5. 遵守最佳實踐： PKCE 符合 OAuth 2.0 安全性最佳實踐，並受到業界標準推薦。

PKCE 與 JWT：主要區別

**PKCE（代碼交換證明金鑰）和JWT（JSON Web 令牌）**都是 OAuth 2.0 的重要組成部分，但它們具有不同的用途並具有不同的特徵。

PKCE 是一種安全擴展，主要旨在防止授權程式碼攔截攻擊和授權程式碼授予流程中的其他威脅。它透過引入驗證機制來運行，確保只有目標用戶端才能用授權程式碼交換存取權杖。從本質上講，PKCE 充當授權過程中防止未經授權存取的保護措施。

另一方面，JWT 是安全、緊湊地表示聲明的標準。它通常用於在各方之間傳輸訊息，例如用戶身份、權限和其他相關數據。 JWT 是一個由三個部分組成的令牌，由標頭、有效負載和簽名組成。標頭包含元數據，有效負載包含聲明，簽名驗證令牌的真實性。