基于Spring Boot微服务的OAuth2授权服务器升级及PKCE相关疑问

背景概述 #

我的应用基于Spring Boot微服务构建，原使用的OAuth password授权类型已在最新Spring Security授权服务器版本中被弃用。React前端存储client id和client secret的做法不安全，用户需注册后方可访问特定资源，登录凭证存储于MySQL数据库中，计划将account service作为授权服务器颁发JWT令牌。

疑问解答 #

1. 你的理解完全正确：必须使用带PKCE的authorization_code授权类型。
   React属于单页应用（SPA），这类公共客户端无法安全存储client secret，带PKCE的授权码模式是Spring Security官方推荐的替代方案——既能解决password模式被弃用的问题，又能有效防止授权码被拦截盗用，完美适配前端无服务端的安全场景。

2. 这个理解有误，用户注册时仍然需要设置密码，PKCE不替代用户身份认证环节。
   PKCE的作用是增强授权码流程的安全性：客户端生成code_challenge和code_verifier，在授权请求时传递code_challenge，兑换令牌时用code_verifier验证，确保只有发起授权的客户端能拿到令牌。但用户要获取授权码，必须先通过用户名+密码完成身份认证，所以注册时还是得存储用户的密码凭证（注意要做哈希加密存储）。

内容的提问来源于stack exchange，提问作者Sachin