Cách dùng Công cụ tạo PKCE
- Code verifier và S256 challenge của nó được tạo ngay lập tức. Nhấn Tạo mới để có cặp khác, hoặc dán verifier của riêng bạn để xem challenge tương ứng.
- Điền endpoint xác thực và endpoint token của nhà cung cấp, cùng
client_id,redirect_urivàscope. - Mở URL xác thực, đăng nhập, rồi sao chép
codetừ đường dẫn chuyển hướng. - Chạy yêu cầu lấy token (curl) với mã đó. Verifier chính là bằng chứng cho thấy bạn là người bắt đầu quy trình đăng nhập.
PKCE bảo vệ quá trình đăng nhập như thế nào
PKCE (Proof Key for Code Exchange, RFC 7636) ngăn người khác sử dụng lại authorization code bị đánh cắp. Ứng dụng tạo một bí mật ngẫu nhiên gọi là code verifier và chỉ gửi bản băm của nó, tức code challenge, cùng yêu cầu đăng nhập. Khi đổi mã nhận được lấy token, ứng dụng gửi chính verifier; máy chủ sẽ băm lại và kiểm tra xem có khớp không. Kẻ tấn công chặn được mã cũng không có verifier.
- Verifier dài 43–128 ký tự, gồm
A–Z a–z 0–9 - . _ ~. - S256:
code_challenge = BASE64URL(SHA256(code_verifier)), không có padding. - OAuth 2.1 yêu cầu PKCE cho mọi client, kể cả ứng dụng phía máy chủ, không chỉ ứng dụng di động và single-page.
stategiúp chống CSRF;noncegắn ID token của OpenID Connect với lần đăng nhập này.
Giải mã các token nhận được bằng JWT Decoder, hoặc thử lệnh gọi token trong API Tester.
Cũng được tìm dưới tên: pkce generator, tạo code verifier pkce, code challenge generator, pkce code challenge, oauth pkce, oauth2 pkce example, s256 code challenge, pkce online.
Các công cụ dùng kèm tốt với Công cụ tạo PKCE
- Tạo JWT — Tạo JWT để kiểm thử API: chỉnh payload, thêm các claim chuẩn chỉ với một cú nhấp và ký bằng HMAC secret hoặc khóa riêng RSA / EC.
- Tạo mã Hash — Tính mã hash MD5 và SHA cho mọi văn bản hoặc file ngay lập tức, tạo chữ ký HMAC và dán checksum mong đợi để kiểm tra file tải về.
- Mã hóa / Giải mã Base64 — Chuyển văn bản sang Base64 và ngược lại với hỗ trợ đầy đủ UTF-8 (dấu tiếng Việt, emoji), chuyển sang Base64 an toàn cho URL, hoặc thả tệp vào để lấy chuỗi Base64 hay data URI.
- Tạo mật khẩu — Tạo mật khẩu thực sự ngẫu nhiên và mạnh, hoặc cụm mật khẩu dễ gõ, với các quy tắc nâng cao: thêm hoặc loại trừ từ, bắt buộc có ký tự nhất định, chọn ký tự đặc biệt được phép, tránh lặp lại và chuỗi liên tiếp.
Câu hỏi thường gặp
Code challenge PKCE được tính như thế nào?
Lấy bản băm SHA-256 của code verifier (dưới dạng byte ASCII), rồi mã hóa bằng base64url và bỏ padding dấu =. Đây là phương thức S256 mà công cụ này sử dụng.
Code verifier nên dài bao nhiêu?
Từ 43 đến 128 ký tự. 43 ký tự base64url ngẫu nhiên đã chứa 256 bit ngẫu nhiên, là quá đủ; dài hơn cũng được.
Nên dùng S256 hay plain?
Luôn dùng S256. plain gửi chính verifier làm challenge, nên không bảo vệ được gì nếu yêu cầu bị nhìn thấy. Phương thức này chỉ tồn tại cho các client không thể tính SHA-256.
Các giá trị có được gửi đi đâu không?
Không. Chúng được tạo bằng API mã hóa của trình duyệt và chỉ rời khỏi trang khi bạn sao chép hoặc mở URL xác thực.
Tôi có thể cài Công cụ tạo PKCE như một ứng dụng web và dùng khi không có mạng không?
Có. Công cụ tạo PKCE là một ứng dụng web (PWA) có thể cài đặt — cài trực tiếp từ trình duyệt, không cần tải từ cửa hàng ứng dụng. Trên Chrome hoặc Edge (Windows, macOS, Linux, ChromeOS) hoặc Android, bấm Cài đặt ứng dụng ở đầu trang này; trên iPhone và iPad, dùng Chia sẻ → Thêm vào Màn hình chính; trên Mac, dùng File → Add to Dock trong Safari 17 trở lên. Sau đó ứng dụng mở trong cửa sổ riêng với biểu tượng riêng, và vì chạy hoàn toàn trên trình duyệt nên vẫn hoạt động khi không có mạng. Firefox trên máy tính không thể cài ứng dụng web. Cách cài đặt hoạt động thế nào.