OAuth2.0，CodeChallenge的生成问题

zjuter

已于 2022-03-22 17:44:19 修改

阅读量1.9k

点赞数 1

CC 4.0 BY-SA版权

文章标签： android

于 2022-03-22 17:40:13 首次发布

本文链接：https://blog.csdn.net/zjuter/article/details/123666591

本文介绍了在Android端封装OAuth2.0 SDK时遇到的CodeChallenge问题，解析了文档中关于生成CodeChallenge的步骤，即先计算CodeVerifier的SHA256哈希值，然后使用BASE64URL编码。错误在于通常我们会将哈希值转换为十六进制字符串，而OAuth要求使用原始的二进制数组进行编码。此外，由于CodeChallenge会用于URL，因此使用Base64.URL_SAFE编码避免了URL保留字符。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

今天在封装OAuth2.0在android端的SDK时，遇到一个CodeChallenge始终不对的问题。

在文档中是这么写的：BASE64URL-ENCODE(SHA256(ASCII(code_verifier)))

也就是说，CodeChallenge的生成，是在CodeVerifier的SHA256值基础上，再用BASE64URL编码。

这里对SHA256的hash值，产生了理解错误。OAuth2.0文档的原意是SHA256的raw byte数组，不是我们平常用到的对raw byte数组转十六进制后的值。

差异性代码看下面：

这是我们平常使用的转hash值：

    public static String string2SHA256(String inStr) {
        MessageDigest md5 = null;
        try {
            md5 = MessageDigest.getInstance("SHA256");
        } catch (Exception e) {
            System.out.println(e.toString());
            e.printStackTrace();
            return "";
        }
        char[] charArray = inStr.toCharArray();
        byte[] byteArray = new byte[charArray.length];

        for (int i = 0; i < charArray.length; i++)
            byteArray[i] = (byte) charArray[i];
        byte[] md5Bytes = md5.digest(byteArray);
        StringBuffer hexValue = new StringBuffer();
        for (int i = 0; i < md5Bytes.length; i++) {
            int val = ((int) md5Bytes[i]) & 0xff;
            if (val < 16)
                hexValue.append("0");
            hexValue.append(Integer.toHexString(val));
        }
        return hexValue.toString();
    }

这是OAuth要求的原值：

    public static String string2SHA256WithBASE64URL(String inStr) {
        MessageDigest md5 = null;
        try {
            md5 = MessageDigest.getInstance("SHA256");
        } catch (Exception e) {
            System.out.println(e.toString());
            e.printStackTrace();
            return "";
        }

        md5.update(inStr.getBytes());
        return Base64.encodeToString(md5.digest(), Base64.URL_SAFE | Base64.NO_WRAP | Base64.NO_PADDING);
    }

可以看到在原值的基础上，进行了Base64编码。

另外，再提一下，为什么叫Base64URL而不是Base64，是因为，CodeChallenge值要拼接在URL当中，所以不能用=,+,/等这些保留字符。这个操作：Base64.URL_SAFE | Base64.NO_WRAP | Base64.NO_PADDING。就是把这些字符去掉。