OAuth2授权码流+PKCE中代码验证器是否存在暴露风险？

• 恶意攻击者确实能获取到单页应用客户端上的代码验证器。毕竟SPA的所有前端代码、内存变量都能通过浏览器开发者工具直接查看，甚至可以通过注入脚本的方式窃取。
• 但这不代表代码验证器存在实质性的暴露风险，核心原因在于PKCE的设计逻辑：
  • 代码验证器（code_verifier）仅在授权码交换令牌的阶段发送给授权服务器，这个请求走的是HTTPS加密链路，攻击者无法在传输过程中截获。
  • 就算攻击者拿到了代码验证器，也必须同时拿到对应的授权码（code）才能完成令牌交换。授权码是从授权服务器重定向回SPA的，要窃取它，攻击者得处于和用户相同的会话上下文（比如XSS攻击）——但XSS属于客户端自身的安全漏洞，PKCE本来就不是用来防御这种场景的，需要靠内容安全策略、输入过滤等其他手段防护。
  • PKCE的核心作用是拦截授权码被截获后的重放攻击：如果攻击者通过中间人攻击拿到授权码，但没有对应的代码验证器，根本没法向授权服务器换取令牌。SPA里代码验证器的本地暴露，是无后端客户端场景下的可接受权衡，它本来就不是用来防御客户端内部的代码窃取，而是解决授权码传输过程中被截获后的滥用问题。

内容的提问来源于stack exchange，提问作者AIMLA