为什么认知令牌在与联邦身份一起使用时会如此快地过期（15分钟）
我想使用Cognito&Google登录我的应用程序。我认为使用它的方法是联邦身份？
我找到了http://serverless-stack.com/chapters/cognito-user-pool-vs-identity-pool.html，以提供联邦标识与用户池的有用解释。和我想的不一样。
- 用户池：处理身份验证、忘记密码等
- 联合标识：为来自用户池的用户提供访问权限，社交登录访问AWS资源
共有1个答案
它的存在时间很短，因为它主要用于传递回来以获得AWS凭据。如果您使用的是'3hop'，即旧流，它是来自GetOpenIdToken的响应，并提供给AssemerOleWithWebIdentity。
推荐的流程是使用“增强流程”，这将把它排除在等式之外。API GetCredentialsForIdentity在一个API中获取令牌并获取凭据，而从不返回令牌。您可以通过凭据本身以这种方式与APIGW集成。
-
使用刷新令牌可以缓解CSRF攻击。第一条规定： 刷新令牌由auth服务器作为HttpOnly cookie发送到客户端，并由浏览器在/refresh_token API调用中自动发送。因为客户端Javascript不能读取或窃取HttpOnly cookie，所以这比将其作为普通cookie或在LocalStorage中持久化要好一些。这种方法也可以免受CSRF攻击，因为即使表单提交攻击可以调用/
-
我在laravel上有自己的登录概念。现在我想让它成为第三方登录解决方案。所以我必须了解很多事情。所以请告诉我 为什么我们总是在Get和Post方法的头上传递身份验证令牌？ 为什么不在直接url（查询字符串）上？ 这有什么优点和缺点？
-
我创建了一个位于web客户端中的简单的Angular应用程序。当我进行身份验证时，将向客户端发送一个令牌。我现在将其存储在会话中（仍然在dev中，因此将解决以后存储在何处的安全问题）。 我不确定这（JWT（JSON Web令牌）自动延长到期）是否有用，因为就我所知，我还没有实现刷新令牌。 我注意到，当我调用logout，然后再次登录时，客户机被发送一个新的令牌--正如预期的那样。但是，如果过了令牌
-
我正在调试一些HTTP请求，使用代理（Burp）。 假设我们有这个命令，运行正常。打嗝可以捕捉一切： 现在我正尝试以编程方式做同样的事情：
-
致命：“https://github.com/scuzzlebuzzle/ol3-1.git/'”身份验证失败
-
我的理解是， 函数实际上是 Python 3 中的一种对象类型，它动态生成其内容，类似于生成器。 在这种情况下，我预计下一行将花费大量时间，因为为了确定1万亿（）是否在范围内，必须生成1万亿值： 此外：似乎无论我添加多少个零，计算或多或少都需要相同的时间（基本上是瞬时的）。 我也尝试过类似的方法，但计算仍然几乎是即时的： 如果我尝试实现我自己的范围函数，结果就不太好了！ 对象在引擎盖下做什么使它如