Что такое PKCE в OAuth 2.0 и зачем он мобильным приложениям?

PKCE (Proof Key for Code Exchange) — это защита для Authorization Code Flow, обязательная для мобильных и SPA (Single Page Applications) приложений.

Проблема: У мобилок и SPA нет безопасного бэкенда, чтобы хранить client_secret. Если хакер перехватит Authorization Code, он сможет обменять его на токен.

Решение PKCE:
1. Клиент генерирует случайную строку (Code Verifier) и ее хэш (Code Challenge).
2. Отправляет хэш на сервер авторизации.
3. Получив Code, клиент отправляет его на обмен ВМЕСТЕ с оригинальной строкой (Verifier).
4. Сервер хэширует строку и сравнивает с сохраненным хэшем. Если совпало — выдает токен. Хакер без оригинальной строки ничего не сделает.