Visualizador do fluxo OAuth 2.0 / OIDC com código de autorização e PKCE

Visualizador do fluxo OAuth 2.0 / OIDC com código de autorização e PKCE | Ferramenta online grátis | Elysia Tools

Guia de uso da ferramenta

Veja quando usar esta ferramenta, o que ela suporta e como os usuários a aplicam.

Fatos principais

Categoria: Development
Tipos de entrada: select, text, checkbox
Tipo de saída: html
Cobertura de exemplos: 4
API pronta: Sim

Visão geral

O Visualizador do fluxo OAuth 2.0 / OIDC com código de autorização e PKCE é uma ferramenta de simulação offline projetada para inspecionar cada etapa da autenticação segura. Ela gera desafios criptográficos S256 e plain conforme a RFC 7636, constrói requisições HTTP detalhadas, valida claims de ID Token segundo a especificação OIDC Core §3.1.3.7 e demonstra cenários de ataque por interceptação de código.

Quando usar

Ao projetar ou depurar a integração de Single Page Applications (SPA) e aplicativos móveis com provedores OAuth 2.0 e OpenID Connect.
Para validar a derivação matemática de code_challenge (SHA-256 base64url) a partir de um code_verifier personalizado.
Para entender o impacto de segurança do PKCE demonstrando na prática como a ausência do verifier permite a interceptação do código de autorização.

Como funciona

1Selecione a variante de fluxo (PKCE S256, PKCE plain ou sem PKCE) e defina parâmetros como issuer, client_id, redirect_uri, escopos, state e nonce.
2O motor calcula o code_challenge a partir do code_verifier fornecido (ou do padrão da RFC 7636) e monta a URL completa da requisição de autorização.
3A ferramenta simula o callback no canal frontal e a troca no endpoint de token pelo canal traseiro, gerando tokens assinados em HS256.
4O resultado apresenta um relatório visual interativo com diagrama de etapas, checklist de validação do ID Token (incluindo at_hash) e matriz de parâmetros.

Casos de uso

Auditoria e aprendizado técnico dos passos exatos do fluxo OAuth 2.0 Authorization Code Grant com extensões PKCE e OIDC.
Geração de dados de teste determinísticos (URLs de autorização, corpos POST de token e hashes) para testes unitários e de integração.
Demonstração didática de vulnerabilidades em fluxos de autenticação sem PKCE em treinamentos de segurança de aplicações.

Exemplos

1. Fluxo padrão PKCE S256 com vetor de teste da RFC 7636

Desenvolvedor Frontend

Contexto

Configurando autenticação segura em uma aplicação React com OpenID Connect e precisa validar os parâmetros da requisição de autorização.

Problema

Confirmar se o cálculo local do code_challenge e a validação do ID Token seguem rigorosamente a RFC 7636 e a OIDC Core §3.1.3.7.

Como usar

Selecione a variante 'PKCE S256', utilize o code_verifier padrão do RFC e configure os escopos como 'openid profile email'.

flowVariant: "s256", codeVerifier: "dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk", scope: "openid profile email"

Resultado

Exibição do fluxo completo com 9 etapas, derivação exata do code_challenge e checklist com 9/9 validações verdes do ID Token.

2. Simulação de interceptação de código sem proteção PKCE

Engenheiro de Segurança de Aplicações

Contexto

Elaborando material técnico para demonstrar por que clientes públicos não devem utilizar o fluxo de código sem PKCE.

Problema

Exemplificar visualmente a vulnerabilidade onde um atacante troca com sucesso um código roubado no canal frontal.

Perguntas frequentes

A ferramenta realiza chamadas reais de rede aos servidores de autorização?

Não. Toda a simulação, derivação de hash SHA-256 e validação de tokens ocorrem de forma determinística e offline no navegador.

Qual é a diferença prática entre as variantes S256 e plain do PKCE?

A variante S256 envia o hash SHA-256 codificado em base64url do verifier, enquanto a plain envia o segredo em texto puro, sendo menos segura.

O que a verificação de at_hash no ID Token valida?

Ela assegura que o access_token recebido corresponde ao hash emitido dentro do ID Token, prevenindo adulteração de tokens.

Como funciona a demonstração de ataque por interceptação?

Ela ilustra um invasor que captura o authorization_code e tenta resgatar os tokens sem conhecer o code_verifier original gerado pelo cliente legítimo.

Posso usar chaves assimétricas como RS256 na simulação?

A ferramenta utiliza assinaturas determinísticas HS256 para manter a execução local rápida e fiel à validação dos parâmetros do OIDC Core.

flowVariant: "none", simulateAttack: true, state: "st-attack-demo", nonce: "n-attack-demo"

O que esta ferramenta ajuda você a fazer

Executar esta ferramenta

Exemplos compatíveis com esta ferramenta

Continue com ferramentas e temas relacionados

Veja quando usar esta ferramenta, o que ela suporta e como os usuários a aplicam.

Fatos principais

Visão geral

Quando usar

Como funciona

Casos de uso

Exemplos

1. Fluxo padrão PKCE S256 com vetor de teste da RFC 7636

2. Simulação de interceptação de código sem proteção PKCE

Perguntas frequentes

Exemplos de Comentários de Código

Exemplos OAuth 2.0 & OpenID Connect

Exemplos de Códigos QR

Exemplos OAuth 2.0

Gerador de PKCE Code Verifier e Challenge

Gerador de frases mnemônicas BIP39

Comparador de algoritmos de hash

Gerador de quebra-cabeças Kakuro / Fillomino / Masyu / Yajilin / Hashiwokakero / Nurikabe / Slitherlink / Star Battle com prova de unicidade