Back

認可リクエスト時に Set-Cookie sb-myprojectid-auth-token-code-verifier ってあって、これがPKCEフロー開始にスパベースが生成したやつをエンコードしたやつで、いったんSet-Cookieでブラウザに置いとくことで、認可コードをリダイレクトで受け取る際にヘッダーから再度読み取れるから、それ使って最終的に検証すると理解した