使用 PKCE 时是否需要使用参考令牌？答案

【问题标题】：Is it needed to use reference tokens while using PKCE?使用 PKCE 时是否需要使用参考令牌？
【发布时间】：2020-09-27 21:24:32
【问题描述】：

我目前正在开发一个将 IdentityServer4 用作授权/身份验证服务器的项目。我们只有一个客户端 (Angular) 和一些基于资源的 API (ASP.NET Core)。目前我们使用代码流 (PKCE) 并同时引用令牌，利用 IdentityServer4 提供的令牌自省端点。

同时使用 PKCE 和引用令牌是否过大？从 API 请求始终调用 IdentityServer4 的令牌自省端点会为收到的每个资源请求添加另一个请求。我们想知道使用引用令牌是否比仅使用带有普通访问令牌的 PKCE 能给我们带来任何安全优势。