डेवलपर / OAuth

PKCE कोड वेरिफ़ायर और चैलेंज जनरेटर

RFC 7636 के अनुसार OAuth 2.0 PKCE कोड वेरिफ़ायर, उसका S256 कोड चैलेंज और state वैल्यू जनरेट करें, या अपने मौजूदा वेरिफ़ायर को जाँचें।

PKCE कोड वेरिफ़ायर और चैलेंज जनरेटर: PKCE उन ऐप्स के लिए OAuth ऑथराइज़ेशन कोड फ़्लो को सुरक्षित करता है जो कोई सीक्रेट सुरक्षित नहीं रख सकते, जैसे मोबाइल और सिंगल-पेज ऐप्स। वेरिफ़ायर अनरिज़र्व्ड अक्षरों से बनी एक रैंडम स्ट्रिंग है, जिसे यहाँ आपके ब्राउज़र के सुरक्षित रैंडम जनरेटर से बिना किसी पक्षपात के बनाया जाता है; चैलेंज, वेरिफ़ायर का Base64url-एन्कोडेड SHA-256 है। कैलकुलेशन RFC 7636 के दिए गए उदाहरण से मेल खाता है। यह आपके ब्राउज़र में 100% स्थानीय रूप से चलता है और सर्वर पर कोई फ़ाइल अपलोड नहीं होती।

श्रेणी
डेवलपर टूल्स
रन
आपके ब्राउज़र में
लागत
मुफ़्त · साइन अप की ज़रूरत नहीं
उपलब्धता
इस्तेमाल के लिए तैयार
PKCE कोड वेरिफ़ायर और चैलेंज जनरेटरलोकल प्रोसेसिंग

पूरी तरह आपके ब्राउज़र में चलता है

code_verifier—
code_challenge (S256)—
code_challenge_methodS256
state—

प्राधिकरण अनुरोध के साथ code_challenge और code_challenge_method=S256 भेजें, वेरिफ़ायर को क्लाइंट पर सीक्रेट रखें और टोकन अनुरोध के साथ इसे भेजें। RFC 7636 के अनुसार, चैलेंज वेरिफ़ायर का Base64url SHA-256 होता है।

फ़्लो संक्षेप में

ऐप एक verifier बनाकर उसे सुरक्षित रखता है, साइन-इन अनुरोध के साथ challenge को authorisation server पर भेजता है, authorisation code प्राप्त करता है, फिर verifier के साथ उस code को tokens के बदले बदलता है। जो हमलावर code को बीच में पकड़ लेता है, वह verifier के बिना उसका उपयोग नहीं कर सकता।

आपको मिले tokens देखने के लिए JWT डिकोडर का उपयोग करें।

अब हर जगह ज़रूरी

OAuth 2.1 और मौजूदा सुरक्षा की सर्वोत्तम प्रक्रियाएँ authorisation code flow का उपयोग करने वाले हर client के लिए PKCE की सलाह देती हैं, जिनमें confidential server-side clients भी शामिल हैं।

इस्तेमाल करने का तरीका

  1. वेरिफ़ायर की लंबाई 43 से 128 अक्षरों के बीच चुनें और Generate दबाएँ।
  2. ऑथराइज़ेशन अनुरोध में कोड चैलेंज और method कॉपी करें।
  3. टोकन अनुरोध के लिए वेरिफ़ायर सुरक्षित रखें; उसका चैलेंज देखने के लिए वेरिफ़ायर पेस्ट करें।

गोपनीयता और सीमाएँ

वैल्यू आपके ब्राउज़र में बनती हैं और कहीं भी नहीं भेजी जातीं।

संबंधित टूल्स

JWT डिकोडरTOTPHMAC

अक्सर पूछे जाने वाले सवाल

क्या मुझे plain या S256 इस्तेमाल करना चाहिए?

जब क्लाइंट SHA-256 कैलकुलेट कर सकता हो, तो हमेशा S256 इस्तेमाल करें—हर आधुनिक प्लेटफ़ॉर्म ऐसा कर सकता है; plain केवल उन क्लाइंट्स के लिए है जो ऐसा नहीं कर सकते।

state वैल्यू किस काम आती है?

यह क्रॉस-साइट रिक्वेस्ट फ़ोर्जरी से सुरक्षा देती है: इसे ऑथराइज़ेशन अनुरोध के साथ भेजें और जाँचें कि वही वैल्यू वापस आई है।

वेरिफ़ायर कितना लंबा होना चाहिए?

कम से कम 43 अक्षर; 64 या उससे अधिक आम है। 128 तक लंबाई बढ़ाने से रैंडमनेस बढ़ती है, लेकिन संगतता से जुड़ी कोई समस्या नहीं होती।

मुफ़्त टूल · आपके ब्राउज़र में बार चलता है · अकाउंट की ज़रूरत नहीं