Spring Security 6中使用PKCE实现身份验证
内容提要
本教程介绍了在Spring Security 6中使用PKCE（Proof Key for Code Exchange）实现身份验证的方法。PKCE是OAuth 2.0的扩展，用于减轻授权码拦截攻击。PKCE的使用包括在初始授权请求中发送code_challenge和code_challenge_method参数，并在交换授权码以获取访问令牌时发送code_verifier。Spring Security从6.3版本开始支持PKCE，并提供了相应的配置方法。在配置方面，需要添加spring-boot-starter-oauth2-authorization-server依赖项，并注册公共客户端。然后，定义SecurityFilterChain配置和UserDetailsService实例。最后，使用一个简单的React应用程序作为公共客户端进行测试。
延伸解读
PKCE 如何阻断授权码拦截攻击
文章详细描述了攻击者拦截授权码后，因缺少 code_verifier 而无法兑换访问令牌。PKCE 要求客户端在授权请求中发送由 code_verifier 生成的 code_challenge，并在兑换时提供原始 code_verifier。授权服务器会校验两者是否匹配，从而确保即使授权码被截获，攻击者也无法完成令牌交换。这一机制有效缓解了公共客户端在不安全网络中的风险。
Spring Security 6.3 的 PKCE 支持与配置要点
Spring Security 从 6.3 版本开始支持 PKCE，但默认不启用。文章通过添加 spring-boot-starter-oauth2-authorization-server 依赖、在 application.yml 中注册公共客户端并设置 require-proof-key 为 true 来启用。require-proof-key 可防止 PKCE 降级攻击，确保授权服务器拒绝没有 code_challenge 的请求。此外，客户端认证方法设为 none，适用于无法安全存储密钥的公共客户端。
公共客户端测试中的关键配置与注意事项
文章使用 React 应用作为公共客户端，通过 oidc-client-ts 库配置 PKCE，其中 code_challenge_method 设为 S256。测试时需注意 CORS 配置，授权服务器需允许来自 http://127.0.0.1:3000 的请求，且应使用 IP 地址而非 localhost。此外，require-authorization-consent 设为 true 会要求用户额外同意 profile 和 email 范围。这些配置共同确保了端到端的 PKCE 流程正确运行。
Q&A
PKCE是什么，它的作用是什么？
PKCE（Proof Key for Code Exchange）是OAuth 2.0的扩展，旨在减轻授权码拦截攻击，确保只有合法的客户端可以使用授权码获取访问令牌。
如何在Spring Security 6中配置PKCE？
在Spring Security 6中配置PKCE需要添加spring-boot-starter-oauth2-authorization-server依赖项，注册公共客户端，并定义SecurityFilterChain配置和UserDetailsService实例。
PKCE如何防止授权码拦截攻击？
PKCE通过要求客户端在交换授权码时发送code_verifier，确保即使恶意用户获取了授权码，也无法获取访问令牌，因为他们不知道code_verifier。
Spring Security 6的PKCE默认是否启用？
Spring Security 6的PKCE默认情况下不启用，因为并非所有身份提供者都支持PKCE扩展。
如何使用React应用程序测试PKCE？
可以使用一个简单的React应用程序作为公共客户端，通过配置oidc-client-ts库来实现OIDC和OAuth2支持，并测试授权码授予流程。
在Spring Security中如何注册公共客户端？
在application.yml文件中配置客户端的相关属性，包括client-id、client-authentication-methods和authorization-grant-types等，以注册公共客户端。
