PKCEの本質は、コード(トークンの発行券)をいかに保護するかって話で、schemeのハイジャック云々はあまり関係ない気がするなあ。けっきょくウェブだったとしても、SPAとかではPKCE必要なわけだし。