"OAuth PKCE (Pixie)" è accreditato come coautore insieme a me, John Bradley (Ping) e Naveen Agarwal (Google).[RFC7636] È stato pubblicato come. Originariamente si chiamava OAuth SPOP (Symmetric Proof of Posession), ma poiché si è espanso per includere cose diverse da quelle simmetriche, è stato ribattezzato Proof Key for Code Exchange (PKCE, pixie), che è quello che è oggi.
Questo standard risolve la vulnerabilità dell'attacco di intercettazione del codice client pubblico OAuth 2.0 [RFC6749] e genera una chiave temporanea e la utilizza per eseguire la prova di possesso della chiave. È retrocompatibile con RFC6749 e facile da implementare, quindi penso che potrai usarlo da ora in poi.
Eduardo GuerirosSig,James MangerSig,Brian campbellSig, Mike Jones,Guglielmo DennisVorremmo esprimere la nostra più profonda gratitudine a lui e a tutti coloro che hanno partecipato considerando gli aspetti di sicurezza di questo standard. Vorrei anche ringraziare il gruppo di lavoro OAuth, il suo presidente, i direttori di area e tutti coloro che in IETF sono stati coinvolti nello sviluppo di questo standard.
Tieni presente che questo PKCE OAuth è già ampiamente utilizzato nell'app del sito video di una determinata azienda e in altre applicazioni.
[RFC6749] Hardt, D.: Il quadro di autorizzazione OAuth 2.0 (2012), https://tools.ietf.org/html/rfc6749