15.13. 被破坏的授权代码

对于 OIDC Auth Code 流，红帽构建的 Keycloak 为其授权代码生成一个强大的随机值。授权代码仅使用一次来获取访问令牌。

在 Admin Console 的 超时页面中，您可以指定授权代码有效的时长。确保时间长度小于 10 秒，这足够长，以便客户端能够从代码请求令牌。

您还可以通过将代码 交换(PKCE) 应用到客户端来防御泄漏授权代码。