공개 클라이언트가 인가 코드를 가로챈 공격자에게 토큰을 빼앗기지 않도록 PKCE를 사용한다. 올바른 흐름은?

1. 1

   access token을 challenge로 그대로 사용한다.

   오답 이유access token은 성공적인 교환 뒤 발급되므로 challenge 원본이 아니다.
2. 2

   redirect URI 검증을 생략하고 verifier만 비교한다.

   오답 이유PKCE와 별개로 redirect URI의 정확한 검증도 유지해야 한다.
3. 3

   클라이언트가 verifier에서 만든 challenge를 인가 요청에 보내고, 토큰 요청 때 원래 verifier를 증명한다.

   정답 근거challenge와 나중의 verifier를 결합해 인가 코드와 원래 요청자를 연결한다.
4. 4

   인가 서버가 verifier를 URL에 평문으로 먼저 공개한다.

   오답 이유verifier를 먼저 공개하면 공격자도 토큰 교환에 사용할 수 있다.