code_challengeを照合することでアクセストークンの横取りを防ぎます。
| PKCE未実装の場合 | PKCE実装済みの場合 |
|---|---|
| 悪意のあるアプリが何らかの方法で認可コードを含むコールバックURLを取得した場合、アクセストークンを奪えてしまいます。 |
悪意のあるアプリにリダイレクト時に渡される情報を横取りされても、一意のcode_challengeを照合することでアクセストークンの横取りを防ぎます。 |
code_verifier | **使用可能文字種**：半角英数字（`a`〜`z`、`A`～`Z`、`0`～`9`）および記号（`-._~`）からなるランダムな文字列code_challenge | `code_verifier`をSHA256でハッシュ化したうえで、Base64URL形式にエンコードした値 | BSCQwo_m8Wf0fpjmwkIKmPAJ1A7tiuRSNDnXzODS7QI |
**URLクエリパラメータ用に整形する**
`code_challenge`の値は、URLクエリパラメータとして利用できるように、通常のBase64形式の文字列から以下の削除・置換を行う必要があります。詳しくは、『RFC 4648』の「[5. Base 64 Encoding with URL and Filename Safe Alphabet](https://datatracker.ietf.org/doc/html/rfc4648#section-5)」を参照してください。
- パディング（文字詰めの`=`）の削除
- `+`を`-`に置換
- `/`を`_`に置換
| Base64形式の例 | `code_challenge`用に削除・置換を行った例 |
| --- | --- |
| BSCQwo_m8Wf0fpjmwk+KmPAJ1A/tiuRSNDnXzODS7== | BSCQwo_m8Wf0fpjmwk-KmPAJ1A_tiuRSNDnXzODS7 |
**サンプルコード**
以下は、Node.jsを使った`code_challenge`生成のサンプルコードです。
``` js
// このサンプルコードでは、Node.jsの"crypto"モジュールを使用しています。
// 参照：https://nodejs.org/api/crypto.html#crypto_crypto
const crypto = require("crypto");
// BASE64形式をBASE64URL形式にエンコードします。
function base64UrlEncode(str) {
return str
.replace(/\+/g, '-')
.replace(/\//g, '_')
.replace(/=/g, '');
}
// code_verifierをSHA256でハッシュ化し、BASE64URL形式にエンコードすることでcode_challengeを生成します。
const code_challenge = base64UrlEncode(crypto
.createHash('sha256')
.update(code_verifier)
.digest('base64'));
```
### 3. 認可URLのクエリパラメータに`code_challenge`と`code_challenge_method`を含める
通常のLINEログインの認可URLのクエリパラメータに`code_challenge`と`code_challenge_method`を含めます。
**パラメータ**
| パラメータ | タイプ | 必須 | 説明 |
| --- | --- | --- | --- |
| `code_challenge` | String | 任意 | [手順2](https://developers.line.biz/ja/docs/line-login/integrate-pkce/#generate-code-challenge)で生成した`code_challenge`。デフォルト値は`null`です（値を指定しない場合、リクエストはPKCE対応されません）。 |
| code_challenge_method | String | 任意 | `S256`（ハッシュ関数`SHA256`を表します。）