전체 HTTPS redirect URI를 사전 등록한 웹 클라이언트가 있다. OAuth 인가 서버가 도메인 접두사만 비교해 `https://client.example.evil.test/cb`도 허용한다. 올바른 개선은?

1. 1

   등록 도메인 문자열로 시작하면 이후 호스트·포트·경로는 달라도 허용한다.

2. 2

   state만 검증하면 redirect URI가 공격자 도메인이어도 인가 코드가 보호된다.

3. 3

   PKCE를 쓰면 사전 등록되지 않은 redirect URI도 안전하므로 와일드카드를 허용한다.

4. 4

   전달된 redirect_uri를 사전 등록한 전체 URI와 문자열로 정확히 비교하고 불일치 요청은 거부한다.