Tidak suka iklan? Pergi Bebas Iklan Hari ini 

PKCE Code Verifier & Challenge Generator

PengembangKeamanan

IKLAN · HAPUS?

MEMASUKKAN

Konfigurasi PKCE

Panjang Verifier: 64 RFC 7636 membutuhkan 43 hingga 128 karakter. Nilai yang lebih panjang memberikan entropi yang lebih tinggi.

Metode Tantangan

S256 diperlukan oleh OAuth 2.1 dan didukung oleh semua penyedia modern.

Himpunan Karakter Verifier

Kedua pilihan menghasilkan verifier yang sesuai dengan RFC 7636. Pilih sesuai dengan harapan klien Anda.

KELUARAN

Sisi klien

IKLAN · HAPUS?

Memandu

Generator Verifier dan Tantangan PKCE - IO Tools

PKCE Code Verifier & Challenge Generator

Buat nilai PKCE yang sesuai dengan RFC 7636 langsung di browser Anda. Pilih panjang verifier (43–128 karakter), dan alat ini menghasilkan angka acak secara kriptografi. code_verifier bersama dengan SHA-256 yang sesuai code_challenge dalam bentuk base64url, siap digunakan dalam permintaan otorisasi OAuth 2.0 atau OAuth 2.1. Berguna untuk aplikasi SPA, aplikasi mobile, CLI lokal, dan siapa saja yang sedang memperbaiki alur otorisasi dengan kode-PKCE terhadap penyedia seperti Auth0, Okta, Microsoft Entra, Google, GitHub, dan Keycloak.

Cara Penggunaan

Tarik Panjang Verifier slider — nilai dari 43 hingga 128 bekerja; nilai yang lebih panjang memberikan entropi yang lebih tinggi.
Pilih Metode Tantangan. Biarkan saja S256 kecuali penyedia Anda secara eksplisit membutuhkannya plain.
Pilih sebuah Himpunan Karakter Verifier. Kedua opsi sesuai dengan RFC; alfabet base64url sesuai dengan yang dihasilkan oleh kebanyakan library klien OAuth.
Klik Buat. Verifier, tantangan, dan metode muncul secara langsung, serta penjelasan langkah demi langkah dari transformasi SHA-256 → base64url.
Salin code_challenge + code_challenge_method ke dalam /authorize redirect, simpan code_verifier di dalam sessionStorage, dan ulang di /token untuk menyelesaikan pertukaran.

Fitur

Kecocokan kriptografi yang aman – menggunakan crypto.getRandomValues() dengan penolakan sampling sehingga tidak ada bias modulo pada alfabet 66 karakter yang tidak terbatas.
SHA-256 Native — tantangan dihitung melalui browser’s SubtleCrypto.digest('SHA-256'), sehingga nilai-nilai tersebut sesuai dengan yang dihasilkan oleh server otorisasi Anda.
Metode S256 dan plain — kedua nilai dari RFC 7636 didukung, dengan code_challenge_method yang dipilih secara default sesuai dengan OAuth 2.1. S256 — lihat verifier murni, digest hex 32-byte SHA-256, dan tantangan akhir base64url agar Anda dapat memeriksa setiap transformasi.
Pembagian langkah demi langkah Dua pilihan alfabet
— pilih himpunan lengkap dari set tidak terbatas RFC 7636 (A–Z, a–z, 0–9, ) atau alfabet yang lebih sempit base64url yang umum digunakan oleh library. -, ., _, ~Panjang slider, 43 hingga 128
— tetap dalam spesifikasi tanpa mengatur angka ajaib. di setiap bidang keluaran sehingga Anda bisa menempelkan langsung ke Postman, curl, atau kode klien Anda.
Salin sekali klik — tidak ada yang dikirim ke server. Verifier tidak pernah meninggalkan tab browser Anda.
100% sisi klien Apa itu PKCE dan mengapa OAuth membutuhkannya?

 Tanya Jawab Umum

Proof Key for Code Exchange (PKCE, RFC 7636) adalah ekstensi OAuth 2.0 yang melindungi alur kode otorisasi dari intersepsi. Klien memilih rahasia

, menghasilkan code_verifierdari itu, dan hanya mengirim tantangan dalam permintaan otorisasi. Saat klien kemudian mengganti kode otorisasi di endpoint token, ia mengirim verifier asli; server menghashnya dan membandingkannya dengan tantangan yang disimpan. Bahkan jika penyerang mengintersepsi kode otorisasi, mereka tidak dapat menukar kode tersebut tanpa verifier, yang tidak pernah meninggalkan klien yang sah. OAuth 2.1 membuat PKCE wajib untuk semua klien, baik publik maupun rahasia. code_challenge Berapa panjang yang seharusnya untuk code_verifier dan mengapa?
RFC 7636 membutuhkan verifier antara 43 hingga 128 karakter dari himpunan tidak terbatas. Batas bawah ada karena 43 karakter base64url mengkodekan 32 byte acak (256 bit) — entropi minimum yang dianggap aman terhadap serangan brute force. Verifier yang lebih panjang memberikan entropi lebih banyak, tetapi tidak memberikan manfaat keamanan nyata di atas 256 bit. Sebagian besar implementasi referensi memilih 43, 64, atau 128. Pilih ujung yang lebih panjang jika Anda ingin perlindungan tambahan, tetapi sadari bahwa beberapa server lama menolak nilai lebih dari 128 karena mereka mengikat spesifikasi secara ketat.

Apa perbedaan antara metode tantangan S256 dan plain?
tantangan adalah hash SHA-256 dari verifier yang dienkripsi dalam bentuk base64url; dengan

Dengan S256 tantangan adalah verifier itu sendiri. Metode plain tidak memberikan perlindungan nyata jika permintaan otorisasi diintersepsi — penyerang yang melihat tantangan sudah memiliki verifier. RFC 7636 hanya memungkinkan plain untuk klien yang benar-benar tidak dapat menghitung SHA-256, dan OAuth 2.1 menolaknya secara total. Penyedia identitas produksi seperti Auth0, Okta, Google, dan Microsoft Entra menolak plain langsung, jadi selalu gunakan plain kecuali Anda sedang memperbaiki klien terbatas yang terintegrasi. S256 Apa itu base64url dan bagaimana perbedaannya dengan base64?
Base64url adalah variasi URL yang aman dari base64 yang didefinisikan dalam RFC 4648 §5. Ia mengganti

sehingga string yang dienkripsi aman untuk dimasukkan ke parameter query, bagian JWT, atau komponen jalur tanpa perlu diescape lebih lanjut. Peningkatan + dengan - dan / dengan _ penyokong juga dihilangkan karena panjangnya diimplikasikan oleh konteks sekitarnya. PKCE, JWT, JWE, JWS, dan kebanyakan spesifikasi kriptografi web modern menggunakan base64url untuk alasan ini. = Klik Generate untuk membuat code_verifier