Autodesk Forge OAuth中code_verifier字段传入值的技术咨询

• 字段作用：这是PKCE（授权码交换证明密钥）机制的核心参数，用于提升3-legged OAuth流程的安全性，虽然gettoken-POST接口文档未明确提及，但教程中采用了PKCE流程，因此必须传入。
• 格式规则：
  • 长度需在43-128字符之间
  • 仅允许包含大小写字母、数字，以及-、.、_、~这四类特殊字符
• 关联逻辑：
  • 需在发起授权码（authorization code）请求前，先生成符合规则的code_verifier原始字符串
  • 请求授权码时传入的code_challenge，是对该code_verifier做SHA-256哈希后，再进行base64url编码得到的（若使用plain模式，code_challenge可直接等于code_verifier，但官方推荐用S256模式）
• 使用要求：调用gettoken-POST接口换取token时，必须传入与授权码请求时完全一致的code_verifier，否则接口会返回验证失败的错误。

内容的提问来源于stack exchange，提问作者Rahul Patil