PKCEとは？
PKCEとは、認可コードの横取りを防ぐための拡張。クライアントが乱数（検証子）を作り、そのハッシュを認可要求時に渡しておき、トークン要求時に検証子そのものを提示する。検証子を知らない攻撃者は、コードを奪ってもトークンに交換できない。
ぴくしー
PKCEの意味
認可コードの横取りを防ぐための拡張。クライアントが乱数（検証子）を作り、そのハッシュを認可要求時に渡しておき、トークン要求時に検証子そのものを提示する。検証子を知らない攻撃者は、コードを奪ってもトークンに交換できない。
PKCEの具体例
スマホアプリでは、独自URLスキームへの応答を同じ端末上の悪意あるアプリが横取りできる。アプリは秘密情報を安全に保持できないためクライアント認証に頼れず、その代替としてこの仕組みが使われる。現在はWebアプリを含む全クライアントで推奨されている。
PKCEは試験でどう引っ掛けられる？
守っているのは認可コードの奪取であって、アクセストークン自体の漏えいやリダイレクトURIの検証不備を補うものではない。またハッシュ方式ではなく検証子をそのまま送る平文方式を選ぶと、盗聴時に効果が失われる。
PKCEと関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。