تدفق Authorization Code مع PKCE

const express = require('express');const app = express();app.use(express.json());app.use(express.urlencoded({ extended: false })); const crypto = require('crypto');let issuedChallenge = null; // العميل يحسب verifier عشوائيًّا، و challenge = sha256(verifier)app.post('/authorize', (req, res) => {  issuedChallenge = req.body.codeChallenge;       // خادم التفويض يحفظ البصمة  res.json({ code: 'AUTH_CODE_123', state: req.body.state });  // (الرمز ثابت للتوضيح)}); app.post('/token', (req, res) => {  // يتحقق أن sha256(verifier) يطابق challenge المحفوظ  const h = crypto.createHash('sha256').update(req.body.codeVerifier).digest('base64url');  if (h !== issuedChallenge)    return res.status(400).json({ error: 'PKCE فشل: المعترِض لا يملك الـ verifier' });  res.json({ accessToken: 'ACCESS_TOKEN_abc', expiresIn: 3600 });}); app.listen(3000);