OAuth PKCE とは？

OAuthの認可コードをアクセストークンへ交換する手続きを守るよ。たとえばスマホアプリで、悪意あるアプリが同じURLスキームを登録すると、戻ってきたコードを横取りされる場合がある。PKCEはコードだけを手に入れても、交換できないようにするんだ。

認可リクエストごとに、予測しにくいランダムなcode_verifierを作って保持するよ。S256方式では、その値をSHA-256で変換し、Base64urlで表したcode_challengeを作る。認可リクエストにはchallengeと方式を送るんだ。

トークンの交換リクエストに、認可コードと元のverifierを添える。サーバーはそのコードに結び付けていたchallengeと、verifierから計算した値を比べるよ。一致しなければ交換を拒否する。鍵の見本を先に預けて、あとで元の鍵を示すイメージだね。

アプリ共通の固定した秘密ではなく、リクエストごとに作る一時的な値だよ。ブラウザーのSPAや配布されるネイティブアプリは、アプリ共通のシークレットを秘匿しにくい。RFC 9700のセキュリティ指針では、パブリッククライアントにPKCEを必須とし、機密クライアントにも推奨しているんだ。

PKCEだけで全部は守れないよ。verifierは漏らさず、S256を使う。HTTPS、正確なリダイレクトURIの照合、使うフローに合うCSRF対策なども必要なんだ。OAuth 2.1は2026年10月4日の確認時点では草案なので、実装では公開済みの仕様や最新のセキュリティ指針も確認しよう。