Interaktiver Spielplatz für den Authorization Code Flow.
Der Flow beginnt, indem der Nutzer zur Login-Seite des Auth-Servers umgeleitet wird.
Dabei werden Parameter wie client_id, redirect_uri und eine code_challenge (für PKCE) übergeben.
Wird geladen...
Du hast einen Code erhalten! Diesen siehst du in der URL. Dieser Code ist nur kurz gültig und muss nun vom Backend gegen echte Tokens getauscht werden.
Was ist PKCE (Proof Key for Code Exchange)?
PKCE verhindert, dass ein Angreifer einen abgefangenen Autorisierungs-Code missbraucht.
Beim Token-Exchange sendet der Client den ursprünglichen Verifier mit. Der Server hasht diesen erneut und prüft, ob er zur zuvor gespeicherten Challenge passt. Nur wer den Verifier kennt, kann den Code tauschen.