OAuth PKCE 생성기

OAuth PKCE 생성기 사용 가이드

PKCE(RFC 7636)는 모바일 앱이나 SPA처럼 비밀키를 안전하게 둘 수 없는 클라이언트가 인가 코드를 가로채이지 않도록 쓰는 방식입니다. 이 도구는 브라우저의 암호학적 난수로 code_verifier를 만들고, SHA-256 해시를 Base64URL로 바꾼 code_challenge를 함께 보여 줍니다.

verifier는 RFC가 정한 A–Z, a–z, 0–9, - . _ ~ 66글자로만 만들며, 난수 바이트를 글자로 바꿀 때 치우침이 생기지 않도록 일부 값을 버리고 다시 뽑습니다. 길이는 length=43~128로 정하고 기본은 64자입니다.

verifier=값을 넣으면 새로 만들지 않고 그 값의 challenge만 계산합니다. 로그인 연동 중 서버가 'invalid code_verifier'를 돌려줄 때, 앱이 보낸 값과 계산 결과를 대조해 원인을 찾을 수 있습니다. method=plain을 쓰면 challenge가 verifier와 같아집니다.

사용 방법

1. 1'옵션' 칸에 length=64, method=S256처럼 적습니다. 기존 값을 확인하려면 verifier=값을 적습니다.
2. 2'실행'을 누르면 code_verifier, code_challenge, code_challenge_method 세 줄이 나옵니다.
3. 3인가 요청에는 code_challenge와 method를, 토큰 요청에는 code_verifier를 넣습니다.

verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk

code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM
code_challenge_method=S256

이럴 때 쓰면 좋아요

• OAuth 로그인 연동을 Postman이나 curl로 수동 테스트할 때
• 앱이 보낸 code_challenge가 verifier와 맞는지 디버깅할 때
• 인증 서버의 PKCE 검증 로직에 넣을 테스트 값을 만들 때
• PKCE 동작 원리를 문서나 교육 자료로 설명할 때

문제가 생겼을 때

활용 팁

• plain 방식은 challenge가 그대로 노출되므로 S256을 쓸 수 없는 경우에만 사용하세요. 대부분의 인증 서버는 S256을 요구합니다.
• verifier는 로그인 한 번에 한 번만 쓰는 값입니다. 테스트가 끝나면 재사용하지 말고 새로 만드세요.

자주 묻는 질문