поток кода авторизации без code_challenge_method и code_challenge через spring -security-oauth2-client

У нас есть сервер идентификации, который не поддерживает PKCE. Его нельзя изменить для включения PKCE.

Я пытаюсь реализовать поток кода авторизации на том же сервере идентификации, используя spring-security-oauth2-client, spring-boot-starter-security и webclient. Сгенерированный код авторизации использует code_challenge_method и code_challenge, который выдает ошибку при доступе к токену. Можно ли весной не использовать PKCE по умолчанию?

Я использую весеннюю загрузку версии 2.3.4.RELEASE


spring-boot spring-security oauth-2.0 spring-security-oauth2 spring-webclient
person user2800089    schedule 10.02.2021    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Spring Security будет использовать PKCE только в том случае, если на клиенте не настроен секрет клиента.

https://docs.spring.io/spring-security/site/docs/5.4.2/reference/html5/#oauth2Client-auth-code-grant

person Martin Theiss    schedule 10.02.2021
comment
Как только я обновил client-authentication-method: none до client-authentication-method: basic в application.yml, это сработало. Спасибо @Martin Theiss - person user2800089; 10.02.2021