13、Amazon Cognito应用安全指南

Amazon Cognito应用安全指南

1. 令牌类型及用途

在使用Amazon Cognito进行应用安全管理时，有三种重要的令牌：身份令牌（ID token）、访问令牌（access token）和刷新令牌（refresh token）。它们各自有着不同的用途：
| 令牌类型 | 用途 |
| ---- | ---- |
| 身份令牌（ID token） | 用于验证对后端（如API网关）的请求。例如，向带有Cognito授权器的API网关API发送请求时，使用授权类型Bearer Token并传递ID令牌。此外，ID令牌还包含额外信息，如用户ID和生成时提供的其他用户属性。 |
| 访问令牌（access token） | 用于Cognito API中，以授权对用户参数的更新。接受访问令牌的Cognito API命令包括 associate-software-token 、 change-password 等众多命令。 |
| 刷新令牌（refresh token） | 用于获取新的身份令牌和访问令牌。例如， initiate-auth 子命令可以将认证流指定为 REFRESH_TOKEN_AUTH ，并传递刷新令牌以获取访问令牌和ID令牌。创建用户池时可以配置刷新令牌的过期时间（以天为单位）。 |

2. 认证流类型

Cognito认证API支持多种认证流类型，其中包括 ADMIN_NO_SRP_AUTH 和 USER_PASSWORD_AUTH