PKCEとは？ぴくしー
PKCEとは、認可コードの横取りを防ぐための拡張。クライアントが乱数（検証子）を作り、そのハッシュを認可要求時に渡しておき、トークン要求時に検証子そのものを提示する。検証子を知らない攻撃者は、コードを奪ってもトークンに交換できない。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →具体例
スマホアプリでは、独自URLスキームへの応答を同じ端末上の悪意あるアプリが横取りできる。アプリは秘密情報を安全に保持できないためクライアント認証に頼れず、その代替としてこの仕組みが使われる。現在はWebアプリを含む全クライアントで推奨されている。
試験での引っ掛け
守っているのは認可コードの奪取であって、アクセストークン自体の漏えいやリダイレクトURIの検証不備を補うものではない。またハッシュ方式ではなく検証子をそのまま送る平文方式を選ぶと、盗聴時に効果が失われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。