oauth-2.0 - Google OAuth 2.0 API 在多大程度上支持 RFC7636？

Question

我正在寻找有关 Google 的 OAuth2 API 中 RFC7636(OAuth token 交换的证明 key )状态的具体信息。

Google 公开了一个 OAuth 2.0 和 OIDC 提供商 API，可以在其中获取访问 token 。 RFC7636 中描述了一个提议的标准，用于在 token 交换中使用证明 key ，我们已开始在与主要身份提供商的集成中使用该标准。有些接受证明 key ，有些则忽略它；谷歌似乎意识到了这一点，但未能验证证明 key 。我在 Google 上找不到任何提及此内容的内容。

具体来说，按照OAuth 2.0的授权码流程，Google作为提供者，我们生成一个随机数，使用SHA256散列，base64 URL编码，然后传递给https://accounts.google.com/o/oauth2/v2/auth根据规范作为参数“code_challenge”和“code_challenge_method”。

端点接受参数并像往常一样发出授权 token 。获取访问 token 时，我们调用 https://www.googleapis.com/oauth2/v4/token使用 code_verifier；端点返回以下 HTTP 400 错误，这表明对代码验证程序有一定的了解:
{
“错误”:“invalid_grant”，
"error_description": "缺少代码验证程序。"
}

developer.google.com/identity/protocols/OAuth2 上的 Google 的 OAuth 文档没有提到任何这些参数； API 游乐场不会扩展到使用 OAuth2 身份验证和 token 端点。任何见解将不胜感激。

Answer 1

我在使用 AppAuth 和 Android clientId 时遇到了同样的问题。为了修复它，我必须在授权和 token 请求上设置一个匹配的“code_verifier”字段。您可以在这篇文章中找到更深入的描述:invalid_grant trying to get oAuth token from google