基于AWS Cognito自定义认证UI与Rocket.Chat的集成实现咨询

一、AWS Cognito端前置配置 #

• 登录AWS Cognito控制台，进入目标用户池的应用集成页面
• 在应用客户端设置中，添加Rocket.Chat的回调URL：https://你的Rocket.Chat域名/_oauth/[自定义OAuth名称]/callback（注意[自定义OAuth名称]要和后续Rocket.Chat里设置的服务名完全一致）
• 勾选授权码授予和客户端凭证授予（Rocket.Chat的OAuth流程依赖授权码模式）
• 从领域端点中记录以下地址：授权端点、令牌端点、用户信息端点，同时保存用户池ID、应用客户端ID和客户端密钥

二、Rocket.Chat自定义OAuth服务配置 #

• 登录Rocket.Chat工作区，进入管理→设置→OAuth
• 找到自定义OAuth板块，点击添加自定义OAuth，填写核心参数：
  • 名称：设置一个标识名（比如CognitoCustomAuth，对应第一步回调URL里的名称）
  • 客户端ID：填入Cognito应用客户端ID
  • 客户端密钥：填入Cognito应用客户端密钥
  • 授权端点URL：填入Cognito的授权端点地址
  • 令牌端点URL：填入Cognito的令牌端点地址
  • 用户信息端点URL：填入Cognito的用户信息端点地址
  • 范围：填写openid email profile（确保能获取用户基础身份信息）
  • 登录按钮文本：自定义显示文本（比如通过Cognito登录）
  • 勾选启用和在登录页面显示，保存配置

三、自定义Cognito认证UI的跳转逻辑调整 #

当用户在你的自定义UI中完成Cognito认证（通过AWS SDK获取到授权码后），需要引导用户跳转到Rocket.Chat的OAuth回调地址，并携带必要参数：

• 前端跳转示例代码：

// 假设已通过AWS SDK获取到authorizationCode
const rocketChatCallback = 'https://你的Rocket.Chat域名/_oauth/CognitoCustomAuth/callback';
// 携带授权码和state参数（state用于CSRF校验，建议随机生成）
window.location.href = `${rocketChatCallback}?code=${authorizationCode}&state=${Math.random().toString(36).substring(2)}`;

• 核心逻辑：必须将Cognito颁发的授权码传递给Rocket.Chat的回调接口，这样Rocket.Chat才能完成令牌交换、用户信息校验，最终完成登录跳转

四、用户信息映射配置 #

在Rocket.Chat的自定义OAuth配置中，找到用户数据映射板块，配置字段对应关系：

• ID：映射Cognito返回的sub字段（用户唯一标识）
• 用户名：映射username或email字段
• 邮箱：映射email字段
• 姓名：映射name或拼接given_name+family_name
  确保映射后Rocket.Chat能正确识别用户身份，自动创建或登录账号

五、流程测试与问题排查 #

• 访问Rocket.Chat登录页，点击自定义登录按钮，验证是否跳转到你的Cognito UI
• 完成认证后检查是否自动跳转至Rocket.Chat首页
• 若跳转失败，优先排查：
  • Cognito回调URL与Rocket.Chat配置的地址是否完全一致（协议、域名、路径均需匹配）
  • Cognito应用客户端是否勾选了正确的授权模式
  • Rocket.Chat的OAuth端点URL、客户端密钥是否填写正确
  • 自定义UI是否正确传递了授权码和state参数

内容的提问来源于stack exchange，提问作者Ebrahim Afridi