在OpenID连接授权代码流中使用PKCE时需要client_secret吗？

Question

根据PKCE规范，OAuth提供者使用code\u验证器来避免中间人攻击。我的理解是，将OAuth代码交换为令牌是基于JavaScript的单页应用程序（SPA）的最佳选择。

当我用谷歌应用编程接口进行实验时，它说“client_secret不见了”。

这是HTTP请求和响应。

ID： 1地址：https://oauth2.googleapis.com/tokenHttp-Method： POST Content-Type： Application/x-www-form-urlencoded Headers：{Content-Type=[Application/x-www-form-urlencoded]， Accept=[/]}有效负载：grant_type=authorization_code

ID：1响应代码：400编码：UTF-8内容类型：应用程序/json；字符集=utf-8标题：{接受范围=[无]，Alt Svc=[h3-28=”：443；ma=2592000，h3-27=”：443；ma=2592000，h3-25=”：443；ma=2592000，h3-T050=“：443”；ma=2592000，h3-Q050=”：443；ma=2592000，h3-Q049=”：443；ma=2592000，h3-Q048=“：443”；ma=2592000，h3-Q046=”：443；ma=2592000 00，h3-Q043=“：443”；ma=2592000，quic=”：443；ma=2592000；v=“46,43”]，缓存控制=[专用]，内容类型=[应用程序/json；字符集=utf-8]，日期=[Mon，2020年6月22日04:41:53 GMT]，服务器=[HTTPServer2上的脚手架]，传输编码=[chunked]，变量=[Origin，Accept-encoding，Referer，X-Origin]，X-Content-Type-Options=[nosniff]，X-Frame-Options=[SAMEORIGIN]，X-XSS-Protection=[0]}负载：{“错误”：“无效的\u请求”，“错误\u描述”：“缺少客户端\u机密”。}

我是否理解“传递code\u verifier时不需要client\u secret”错误，或者Google不支持PKCE，或者我是否在请求中遗漏了其他参数？请帮忙。

Answer 1

我在尝试使用最新的单页应用程序标准时，也遇到了同样的问题。看看Google文档，它们的实现似乎仍然基于隐式流。

我验证了您可以发送response_type='令牌id_token'并成功获取令牌，尽管我也更喜欢使用授权代码流（PKCE）。