“OAuth PKCE (Pixie)” é creditado como coautor comigo, John Bradley (Ping) e Naveen Agarwal (Google).[RFC7636] Foi publicado como. Foi originalmente chamado de OAuth SPOP (Symmetric Proof of Posession), mas como se expandiu para incluir outras coisas além de simétrica, foi renomeado como Proof Key for Code Exchange (PKCE, pixie), que é o que é hoje.
Este padrão aborda a vulnerabilidade de ataque de interceptação de código do cliente público no OAuth 2.0 [RFC6749], e gera uma chave efêmera e a usa para realizar prova de posse de chave. É compatível com versões anteriores do RFC6749 e fácil de implementar, então acho que você pode usá-lo a partir de agora.
Eduardo GueirosSenhor,James MangerSenhor,Brian CampbellSenhor, Mike Jones,William DennisGostaríamos de expressar nossa mais profunda gratidão a ele e a todos que participaram da consideração dos aspectos de segurança desta norma. Gostaria também de agradecer ao grupo de trabalho OAuth, ao seu presidente, aos diretores de área e a todos na IETF que estiveram envolvidos no desenvolvimento deste padrão.
Observe que este OAuth PKCE já foi amplamente adotado pelo aplicativo de site de vídeo de uma determinada empresa e por outros aplicativos.
[RFC6749] Hardt, D.: Estrutura de autorização OAuth 2.0 (2012), https://tools.ietf.org/html/rfc6749