Публичный клиент OAuth

Публичный клиент не способен сохранить свои общие учётные данные в тайне, например когда код выполняется на устройстве владельца ресурса.

Граница применимости: Типы клиентов OAuth 2.0.

PKCE защищает каждый обмен кода авторизации новым случайным значением, но не превращает встроенный общий секрет в защищённые учётные данные.

Граница применимости: Защита выдачи по коду для публичного клиента.

Если одинаковый секрет встроен во все распространяемые экземпляры приложения, его наличие не превращает их в конфиденциального клиента. PKCE использует новое значение для обмена, но не делает встроенный общий секрет недоступным владельцу устройства.

Граница применимости: Редакторский пример публичного размещения клиента; защищённая серверная часть того же продукта может иметь другую классификацию.

Идентификатор клиента не является секретом и не должен сам по себе использоваться как аутентификация клиента. Публичный идентификатор клиента указывает регистрацию, а не доказывает владение защищёнными учётными данными.

Граница применимости: Идентификатор клиента по RFC 6749, раздел 2.2; это свойство не означает анонимность всех последующих запросов.

У одного продукта браузерная часть может быть публичным клиентом, а защищённая серверная часть — конфиденциальным. Классификацию проводят по месту исполнения и защите учётных данных, а не по названию продукта.

Граница применимости: Редакторский пример распределённого приложения по типам RFC 6749. PKCE отдельно привязывает конкретный обмен к экземпляру клиента.