OAuth PKCE とは？

OAuth 2.0で認可コードを受け取るとき、そのコードを悪意あるアプリに横取りされるのを防ぐための仕組みだよ。

スマホアプリだとカスタムURLスキーム（myapp://callback）を使って認可コードを受け取るけど、悪意あるアプリが同じURLスキームを登録していたら、そっちにコードが飛んでいってしまうんだ。

認証開始前にアプリがランダムな文字列（code_verifier）を生成して、そのSHA256ハッシュ（code_challenge）を認可サーバーに送っておくんだ。そして認可コードを受け取った後、元のcode_verifierをトークンリクエストに添えると、サーバーがハッシュを照合して本物かどうか確認するよ。

正解！PKCEは「先に鍵の形（ハッシュ）を登録しておいて、後で鍵の実物（元の値）を提示させる」南京錠のような仕組みだよ。RFC 7636として標準化されていて、クライアントシークレットを安全に保管できないパブリッククライアントでは必須とされているんだ。

そうだよ。2023年のOAuth 2.1ではPKCEがすべての認可コードフローで必須になったんだ。セキュリティを強化しながら実装もシンプルにしてくれる、よくできた仕様だよ。