OAuth新手疑问：为何同时启用PKCE与Client Secret？

首先明确：对于你开发的公开客户端（比如SPA、移动应用这类无法安全存储密钥的应用），PKCE完全可以替代Client Secret，你不需要同时启用两者，应该只开启PKCE即可。

为什么Okta允许同时启用两者？ #

• 兼容混合场景：部分应用可能同时支持两种客户端类型——比如同一个Client ID既给前端SPA（公开客户端，用PKCE）用，又给后端服务（保密客户端，需要Client Secret）用。Okta保留这个选项是为了方便统一配置，不用分开创建多个Client ID。
• 过渡迁移需求：有些老应用原本依赖Client Secret做身份验证，现在要逐步迁移到更安全的PKCE方案，过渡期间可以同时启用两种验证方式，让新旧版本的客户端都能正常工作。

PKCE和Client Secret的核心区别 #

• Client Secret是给保密客户端设计的：比如后端服务、桌面应用这类能安全存储密钥的客户端，用固定的Secret来证明自身身份，防止恶意客户端冒充。
• PKCE是专门解决公开客户端的安全问题：公开客户端没法安全存储固定Secret，所以通过生成一次性的code_verifier和对应的code_challenge，在授权码交换阶段验证客户端身份，从根源上避免了固定Secret泄露的风险，作用和Client Secret类似，但更适合公开场景。

给你的建议 #

作为公开客户端开发者，直接关闭Client Secret选项，只启用PKCE就足够保障安全了。如果强行使用Client Secret，反而会因为无法安全存储导致密钥泄露，带来安全隐患。

内容的提问来源于stack exchange，提问作者Tom Baxter