ตัวสร้าง PKCE Challenge
สร้างคู่ code_verifier และ code_challenge (S256/plain) สำหรับ OAuth 2.0 PKCE ในเบราว์เซอร์ รองรับ RFC 7636 ทำงานผ่าน Web Crypto API 100% client-side
Loading tool...
ตัวสร้าง PKCE Challenge คืออะไร?
ตัวสร้าง PKCE Challenge ที่สร้างคู่ code_verifier และ code_challenge ตามมาตรฐาน RFC 7636 สำหรับ OAuth 2.0 authorization flow รองรับทั้ง S256 (SHA-256) และ plain challenge method พร้อมปรับความยาว verifier ได้ตั้งแต่ 43 ถึง 128 ตัวอักษร ทำงานในเบราว์เซอร์ทั้งหมดผ่าน Web Crypto API
ประโยชน์หลัก
- ป้องกันการโจมตีดักจับ authorization code
- จำเป็นสำหรับ public client เช่น SPA และแอปมือถือ
- S256 method ไม่เปิดเผย code_verifier ใน request เลย
- ความสุ่มระดับ CSPRNG ผ่าน crypto.getRandomValues
- ไม่มีข้อมูลออกจากเบราว์เซอร์ — 100% client-side
กรณีการใช้งาน
- •รักษาความปลอดภัย OAuth 2.0 authorization code flow ใน SPA
- •การยืนยันตัวตนแอปมือถือด้วย public client
- •ทดสอบ identity provider ที่เปิดใช้ PKCE ระหว่างการพัฒนา
- •สร้างคู่ PKCE สำหรับการทดสอบ API integration
วิธีใช้ตัวสร้าง PKCE Challenge
- เลือก challenge method: เลือก S256 (แนะนำ, SHA-256 hash) หรือ plain (ใช้ verifier ตรงๆ)
- ตั้งค่าความยาว verifier: ใช้สไลเดอร์หรือช่องตัวเลขเพื่อเลือก 43-128 ตัวอักษรตาม RFC 7636
- สร้างหรือวาง: คลิกสร้างใหม่เพื่อรับคู่ใหม่ หรือวาง code_verifier ของคุณเองเพื่อคำนวณ S256 challenge
- คัดลอกและใช้งาน: คัดลอก code_challenge ไปใส่ใน authorization request และ code_verifier สำหรับการแลก token
คุณสมบัติหลัก
- S256 challenge method โดยใช้ SHA-256 hash กับ Base64URL encoding
- รองรับ plain challenge method สำหรับ flow เก่า
- ปรับความยาว code_verifier ได้ตั้งแต่ 43 ถึง 128 ตัวอักษร
- สร้างด้วย CSPRNG ผ่าน crypto.getRandomValues (ไม่ใช้ Math.random)
- วาง code_verifier ของคุณเองพร้อมตรวจสอบตาม RFC 7636
- คัดลอก code_verifier และ code_challenge ได้คลิกเดียว
คำถามที่พบบ่อย
PKCE คืออะไร?
PKCE (Proof Key for Code Exchange, RFC 7636) คือส่วนขยายของ OAuth 2.0 ที่ป้องกันการดักจับ authorization code โดยกำหนดให้ client ต้องพิสูจน์การครอบครอง secret (code_verifier) เมื่อแลก authorization code เป็น token
ควรใช้ S256 หรือ plain?
ควรใช้ S256 เสมอเมื่อทำได้ เพราะมันแฮช code_verifier ด้วย SHA-256 ทำให้ secret ไม่ปรากฏใน authorization request เลย plain ควรใช้เฉพาะเมื่อ client ไม่สามารถทำ SHA-256 ได้
code_verifier ใช้ตัวอักษรอะไรได้บ้าง?
ตาม RFC 7636 code_verifier ต้องยาว 43-128 ตัวอักษร จากชุด [A-Za-z0-9-._~] เครื่องมือนี้สุ่มจากชุดอักขระนี้ทั้งหมดผ่าน crypto.getRandomValues
code_verifier ของฉันถูกส่งไปที่ไหนไหม?
ไม่ ทุกอย่างทำงานในเบราว์เซอร์ของคุณทั้งหมดผ่าน Web Crypto API ไม่มีข้อมูลถูกส่งไปยังเซิร์ฟเวอร์ใดๆ