AWS Cognito 托管 UI 在 URL 中返回 id_token

Question

我正在使用 AWS Cognito 的托管 UI 進行用戶登錄。 id 令牌作為 URL 的一部分返回，如https://docs.aws.amazon.com/cognito/latest/developerguide/cognito-user-pools-app-integration.html 中所述。 即，

您可以在響應中的 #idtoken= 參數之后找到 JSON Web 令牌 (JWT) 身份令牌。 這是來自隱式授權請求的示例響應。 https://www.example.com/#id_token=123456789tokens123456789&expires_in=3600&token_type=Bearer

但是，將敏感數據放入查詢字符串被認為是一種不好的做法（ HTTPS 查詢字符串是否安全？ ）。 AWS Cognito 是否支持更安全的返回 id 令牌的方式？

Answer 1

您可以要求 cognito 向您發送授權代碼，而不是令牌。 從文檔：

授權代碼授予是授權最終用戶的首選方法。 不是在身份驗證時直接向最終用戶提供用戶池令牌，而是提供授權代碼。 然后將此代碼發送到自定義應用程序，該應用程序可以將其交換為所需的令牌。 由於令牌永遠不會直接暴露給最終用戶，因此它們不太可能受到損害。

來源： https : //aws.amazon.com/blogs/mobile/understanding-amazon-cognito-user-pool-oauth-2-0-grants/