OAuth PKCE流程中如何防止黑客冒用其他客户端ID获取权限？

这事儿的核心是OAuth 2.0（包括PKCE）的安全机制从好几个层面堵死了这种操作，具体来说：

• 用户授权只针对自己的账号
  客户端的权限范围只是它能请求的权限类型，但最终拿到的令牌只能操作当前登录并点了同意的那个用户账号。黑客用别人的客户端ID发起流程，要么用自己的账号授权，拿到的是自己账号的权限（完全没用）；要么骗受害者登录，但受害者授权后，令牌也落不到黑客手里——后面的步骤有重定向和PKCE校验盯着呢。

• 重定向URI是硬绑定的
  每个客户端在OAuth服务商那边注册时都绑定了固定的重定向URI。PKCE流程里，授权码只会发到这个合法URI上。黑客改不了这个URI：要是请求里的URI和注册的不一样，直接被服务商拒绝；就算想伪造，原生APP的系统也会拦着，授权码只会跑到客户端对应的官方应用里，黑客拿不着。

• PKCE的code_verifier是独一份的
  黑客发起流程时会生成自己的code_challenge，但他连授权码都拿不到（因为重定向不对），更别说换令牌了。就算真拿到授权码，换令牌的时候必须提供和之前code_challenge配对的code_verifier，这个只有发起流程的人知道，黑客伪造不了。

• 敏感权限不是随便就能请求的
  对那些高风险的权限，OAuth服务商通常会要求客户端先过审核才能用，或者只给特定可信客户端开权限。就算黑客有客户端ID，请求这类权限也会被直接拒绝。

内容的提问来源于stack exchange，提问作者developer747