OAuth 2.0 PKCE授权时需每次生成新挑战还是可存储复用？

必须为每一次独立的OAuth 2.0授权流程单独生成全新的code_verifier和对应的code_challenge，禁止存入环境变量全局复用，你的初始判断符合RFC 7636规范要求。
复用固定PKCE密钥对会完全丧失PKCE的设计价值：PKCE的核心作用是防范授权码拦截攻击，若verifier固定，攻击者只要截获任意一次授权码，就能用固定的verifier兑换访问令牌，完全失去防护效果。

你遇到的/authorize和/token调用之间PKCE挑战被重生成的问题，是Zapier无服务器运行环境下的典型问题，可按以下方向排查：

• 不要将code_verifier存储在模块级变量、全局变量中：Zapier的集成代码运行在函数即服务架构下，同个授权流程的两次接口请求可能分配到不同的实例，或触发冷启动重置全局变量，导致之前生成的verifier丢失，触发重新生成逻辑。
• 必须将code_verifier和当前授权流程绑定存储：Zapier官方要求OAuth流程的临时凭证需存储在bundle对象的授权临时存储区，在生成/authorize请求时将verifier存入，在/token请求阶段直接从bundle中读取，不要二次生成。
• 检查授权流程的重定向逻辑：确认没有额外的中间跳转、重试逻辑重复触发/authorize请求生成新的挑战，导致最终回调的授权码和首次生成的verifier不匹配。
• 补充临时日志埋点：在生成code_verifier的逻辑处打印当前授权流程的state参数值，在调用/token接口前打印当前读取到的verifier和关联的state，即可快速定位是否存在跨流程取错verifier的问题。

内容的提问来源于stack exchange，提问作者Allie A