Cognito中ALLOW_USER_SRP_AUTH在ALLOW_USER_AUTH下是否冗余？

是的，ALLOW_USER_SRP_AUTH在配置了ALLOW_USER_AUTH之后属于冗余配置，具体原因和背景如下：

• 从AWS CloudFormation对AWS::Cognito::UserPoolClient的ExplicitAuthFlows定义来看，ALLOW_USER_AUTH是一个聚合型的认证流选项，已经涵盖了ALLOW_USER_SRP_AUTH对应的SRP挑战认证，同时还包含用户名密码认证、无密码认证以及密钥认证等方式。单独配置ALLOW_USER_SRP_AUTH不会额外扩展认证能力。

• 控制台用户向导默认配置和官方文档示例同时列出两者，主要源于两个原因：

  • 历史兼容性：早期Cognito的认证流选项拆分更细，ALLOW_USER_SRP_AUTH是独立启用SRP认证的唯一方式；后来推出ALLOW_USER_AUTH聚合选项后，为了避免老项目切换配置时出现兼容问题，向导和示例保留了原有配置组合。
  • 文档与UI更新滞后：官方文档和控制台UI的迭代速度有时会落后于API功能的更新，因此会出现这种看似冗余的配置示例。

实践建议 #

• 新建项目：仅配置ALLOW_USER_AUTH即可，完全满足SRP及其他涵盖的认证需求，减少配置冗余。
• 现有项目：若已同时配置两者，无需特意移除，因为不会产生功能冲突，只是多了一个冗余配置项。

内容的提问来源于stack exchange，提问作者Garret Wilson