redirect_uri를 부분 문자열로만 검사하면 생길 수 있는 위험은?

1. 1

   공격자가 access token의 audience 값을 서버 검증 전에 바꿀 수 있다.

2. 2

   인가 서버가 PKCE verifier를 클라이언트 대신 임의 생성하게 된다.

3. 3

   부분 문자열 검사는 등록 URI보다 더 좁은 경로만 허용하므로 코드 유출과 무관하다.

4. 4

   공격자 주소로 authorization code가 전달될 수 있다.