关于Google OAuth 2.0 PKCE需客户端密钥的三类技术疑问

背景 #

Google官方宣称支持OAuth 2.0的PKCE（Proof Key for Code Exchange）协议，但实际落地的PKCE流程要求提供客户端密钥，这与PKCE标准相悖，对移动或桌面客户端存在潜在风险，该问题已存在较长时间。

1. 在Google PKCE流程中，将客户端密钥存储在移动或桌面客户端是否安全？ #

PKCE设计中，客户端密钥并不需要保密。OAuth2规范里，这类无法安全存储密钥的客户端被定义为公开客户端。恶意攻击者获取授权码和令牌的风险可通过两个机制规避：一是授权码必须直接从用户的授权流程中获取，二是重定向URL已在Google平台完成注册校验。另外，客户端密钥的核心作用是服务端应用的身份校验，对移动/桌面这类公开客户端来说重要性极低。

2. 若密钥存储不安全，使用隐式流是否更安全？ #

2020年曾有高赞内容建议用隐式流替代，但隐式流存在明显的致命缺陷：不支持刷新令牌，且目前已被PKCE完全取代——PKCE在安全性上远优于隐式流，因此绝对不推荐改用隐式流。

3. 为何Google的PKCE流程违反标准要求客户端密钥？ #

目前Google并未公开解释这一设计的原因，但从行业实践推测，可能是出于自身生态的安全策略考量：比如强化客户端身份校验逻辑、适配已有系统的架构设计，或是为了统一服务端与客户端的认证流程。不过必须明确的是，这种要求确实不符合PKCE针对公开客户端无需提供密钥的标准定义。

内容的提问来源于stack exchange，提问作者Johnny Metz