带有 Keycloak 的 Spring 安全客户端 PKCE

Question

我有一个使用 Spring Security 5.2.1 并由 Keycloak 保护的 Java 应用程序。
Keycloak 中的客户端是一个公共的 openid-connect 客户端。
它工作正常。

我现在需要使用 PKCE（代码交换证明密钥）。
由于 Spring Security 5.2.0.M2 中添加了对 PKCE 的客户端支持，并且我使用 Spring Security 5.2.1，因此我可以使用 Spring Security 来实现它。
这是个好消息。
'坏' 消息是，我在 Web 或 Spring Security 文档中几乎找不到任何关于我必须如何实现它的内容。 在 keycloak.json 中添加 "enable-pkce": true 不起作用，我没有找到任何明确的示例。

是否有一些文档、网站或其他任何东西，描述了如何实现这个？

非常感谢！

Answer 1

来自 Spring Security 参考文档https://docs.spring.io/spring-security/site/docs/5.3.1.RELEASE/reference/html5/#initiating-the-authorization-request

当满足以下条件时，将自动使用PKCE：

1. client-secret 被省略（或为空）

2. client-authentication-method 设置为“无”(ClientAuthenticationMethod.NONE)