如何处理Cognito上的代币过期

Question

我正在开发一个使用 AWS Cognito 作为身份提供程序的应用程序。因此，用户在 AWS Cognito 池上进行身份验证，并获取访问令牌、访问 ID 和刷新令牌。然后，用户可以向我的应用发出后端请求。我获得访问令牌验证它，在 Cognito AWS 上获取用户配置文件并授权请求。

问题是，在访问令牌过期后，客户端将过期的令牌发送到后端，后端应用会收到错误（令牌已体验或未授权）。

如何使此工作流程正常工作？

我正在考虑向客户端发送一条消息，表明令牌已过期，客户端将根据Cognito池刷新令牌。这是正确的方法吗？

Answer 1

在我的项目中，我使用AWS Amplify库，我发现这种方法有效：

配置：

import Amplify, { Auth } from "aws-amplify";

Amplify.configure({
  Auth: {
    userPoolId: <USER_POOL_ID>,
    userPoolWebClientId: <USER_POOL_WEB_CLIENT_ID>
  }
});

刷新令牌

try {
    const currentUser = await Auth.currentAuthenticatedUser();
    const currentSession = currentUser.signInUserSession;
    currentUser.refreshSession(currentSession.refreshToken, (err, session) => {
      // do something with the new session
    });
  } catch (e) {
    // whatever
  }
};

此处有更多讨论：https://github.com/aws-amplify/amplify-js/issues/2560.

Answer 2

您可以在此链接上找到如何使用它们的更多信息。http://docs . AWS . Amazon . com/cogn ITO/latest/developer guide/Amazon-cogn ITO-user-pools-using-tokens-with-identity-providers . html

要使用刷新令牌获取新令牌，请使用

简而言之，使用刷新令牌调用AdminLaunateAuth操作。查看您喜欢的开发语言的SDK。

Answer 3

当您从Cognito用户池获取Access Token、ID和刷新令牌时，您必须在本地缓存它。Access和ID令牌的有效期为1小时，应在该时间段内尽可能多地重复使用。

这些代币是 JWT 代币，并在自身中保存到期时间。您可以解码 JWT 令牌，也可以将此到期时间与令牌一起缓存。每次访问令牌的缓存时，还要根据缓存的到期时间检查当前时间。如果已过期，请使用刷新令牌获取最新的访问和 ID 令牌，并缓存令牌并再次过期。

如果您使用我们针对Android、 iOS 或JavaScript的高级SDK之一，SDK将为您管理所有这些。