在PKCE中使用授权代码流时，为什么Azure B2C为什么需要client_secret

Question

我们的团队正在构建一个Angular应用，该应用将使用B2C进行身份验证/授权，并且我们希望在此应用中使用带有PKCE的授权代码流来构建OpenID集成。

Azure B2C似乎支持PKCE，但是由于某些原因，它还要求我们在请求访问令牌时发送client_secret。这个对吗？在处理授权码流时，PKCE是否不应该消除对静态客户端机密的需求？

Answer 1

Web应用程序需要客户端密钥，如果您的应用程序是本地应用程序，则不需要客户端密钥。

参考：

https://medium.com/the-new-control-plane/using-proof-key-for-code-exchange-pkce-in-azure-ad-b2c-9203fbc148fd

https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-auth-code-flow