Il flusso del codice di autorizzazione è un metodo OAuth 2.0 in cui un'applicazione reindirizza un utente a un server di autorizzazione affinché acceda e approvi l'accesso. Il server invia all'applicazione un codice di autorizzazione di breve durata, che l'applicazione scambia con un token di accesso presso l'endpoint dei token. Il codice non è di per sé un token che concede l'accesso.
Questo design evita che i token di accesso passino attraverso il reindirizzamento visibile nel browser, ma le sue protezioni dipendono da una corretta implementazione. Le applicazioni dovrebbero convalidare l'URI di reindirizzamento e usare un valore state per difendersi dalla falsificazione delle richieste. PKCE aggiunge un verificatore legato alla richiesta originale, così normalmente un codice intercettato non può essere scambiato senza di esso. Negli attacchi reali, difetti nella gestione dei codici o nei controlli PKCE possono mettere a rischio token o account; i difensori dovrebbero usare librerie OAuth mantenute e verificare l'intero percorso di reindirizzamento e scambio dei token.