Giriş
OAuth 2.0 protokolü, güvenli ve standartlaştırılmış bir yetkilendirme mekanizması sunarken, PKCE (Proof Key for Code Exchange) ise özellikle mobil uygulamalarda ek güvenlik sağlayan bir uzantıdır. Android uygulamalarında OAuth akışını PKCE ile entegre etmek, hem güvenliği artırır hem de API erişimlerini güvenle yönetmenize imkan tanır. Bu yazıda, PKCE destekli OAuth 2.0 akışını Android ortamında nasıl kurabileceğinizi adım adım anlatıyorum.
PKCE'nin temel mantığı
PKCE, “code verifier” ve “code challenge” adını verdiğimiz benzersiz anahtarlar kullanır. Bu sayede, yetkilendirme kodu alındıktan sonra gelen istekte, uygulama önceden oluşturduğu “code verifier” ile doğrulama yapar. Bu yöntem, özellikle kötü niyetli üçüncü tarafların token’ı ele geçirmesini zorlaştırır.
Adımlar ve uygulama detayları
- Code Verifier Oluşturma:
Uygulama, rastgele ve yüksek entropili bir string üretir. Bu, genellikle 43-128 karakter arasında olmalı ve URL-safe olmalıdır.
Örnek:
1String codeVerifier = generateRandomString(128);
- Code Challenge Hesaplama:
Code verifier’ın SHA256 hash’ini alıp Base64-url encoding ile kodlar ve bu değeri “code challenge” olarak kullanırız.
Örnek:
12
String codeChallenge = generateCodeChallenge(codeVerifier);
- OAuth Authorization URL’sini Oluşturma:
URL’ye şu parametreleri ekleriz:
- response_type=code
- client_id=...
- redirect_uri=...
- code_challenge=codeChallenge
- code_challenge_method=S256
- Kullanıcı Yetkilendirme ve Redirect:
Kullanıcı, tarayıcı veya WebView aracılığıyla yetkilendirme ekranına yönlendirilir.
Sonrasında, OAuth sunucusu, redirect_uri’ye yetkilendirme kodunu gönderir.
- Token Alımı ve Doğrulama:
Token istek aşamasında, “code verifier” ile birlikte token isteği yapılır.
Örnek:
123456789
POST /token
Content-Type: application/x-www-form-urlencoded
grant_type=authorization_code
&code=YETKİLENDİRME_KODU
&redirect_uri=...
&client_id=...
&code_verifier=codeVerifier
Bu adımlar tamamlandıktan sonra, uygulama güvenli bir biçimde erişim token’ını alabilir. PKCE, özellikle uygulama güvenliği açısından kritik olan mobile ve SPA uygulamalarında tercih edilmelidir.
Sonuç
Android’de PKCE destekli OAuth akışını kurmak, temel olarak yukarıdaki adımları takip etmekle mümkündür. Bu akış, uygulama ile OAuth sunucusu arasında ek güvenlik katmanı sağlar ve token sızıntısı riskini önemli ölçüde azaltır. Güvenli ve uyumlu bir OAuth entegrasyonu, uygulamanın bütünlüğü ve kullanıcıların güvenliği açısından kritik öneme sahiptir.
