哪个ID用于验证用户请求？ID令牌或访问令牌-AWS Cognito

Question

我试图实现一个单页应用程序，同时使用AWS Cognito作为IdP。我计划将一个节点服务器连接到MongoDB。基本上是平均堆栈。

我的申请结构：

我在用户池的应用客户端设置中选择了Implicit GrantOAuth Flows选项。

Email和OpenID用于允许的OAuth范围。

主页（登录/注册）--

理解：

使用文档中提到的解码技术，我想我应该能够验证access\u令牌是否有效，它是否属于我的用户池。

使用id\u令牌，我想我应该能够检索用户记录。

问题

如何限制具有有效令牌的API请求查看任何其他用户的详细信息？

审判：

• API的设计方式应确保它不需要查询参数，并且只使用为每个API请求发送的令牌来检索相应的用户记录

需要澄清：

>

对于每个API请求，我是否必须将id_token和access_token从我的用户界面发送到API服务器，或者一个令牌就足够了？那应该是哪一个？

我的API服务器是否必须为每个API调用连接到AWS Cognito，以检查令牌是否在其端也有效，或者使用该令牌从用户池获取属性？




Answer 1

简单回答：ID令牌。查看使用ID令牌文档。

ID令牌是JSON Web令牌（JWT），其中包含关于身份验证用户[...]可以在应用程序中使用此标识信息。ID令牌还可用于针对资源服务器或服务器应用程序对用户进行身份验证。

更详细的回答：如果您希望自己处理所有授权（即，您的后端使用ID令牌来决定允许给定用户访问哪些资源），则可以使用Congito ID池来执行授权。即，将您当前拥有的用户池凭据转换为AWS IAM凭据。通过在角色策略中使用当前用户的Cognito子ID，支持此操作的IAM角色可以是特定于用户的。