如何在Node.js与浏览器环境中解码并验证AWS Cognito的JWT IdToken？

我之前也踩过和你一样的坑——用jwt-decode的时候，浏览器端老是因为依赖Node.js的crypto库出问题，而且它还只做解码不做验证，安全性也不够。后来找到了一个完美适配双环境的方案，用jose这个库就搞定了，它本身就是为跨环境设计的，不用额外折腾polyfill，还能同时完成解码和验证，一举两得。

第一步：安装依赖 #

先把jose装到项目里，不管是Node.js还是浏览器项目都能用：

npm install jose
# 或者用yarn
yarn add jose

第二步：跨环境通用的解码验证代码 #

下面这段代码在Node.js服务器和浏览器里都能直接跑，核心是利用jose自动适配环境的加密API，以及它内置的远程JWK集功能（不用手动去下载Cognito的公钥）：

import { jwtVerify, createRemoteJWKSet } from 'jose';

// 替换成你自己的Cognito配置信息
const COGNITO_REGION = 'us-east-1'; // 比如你的用户池所在区域
const USER_POOL_ID = 'your-user-pool-id'; // 从AWS控制台用户池页面获取
const APP_CLIENT_ID = 'your-app-client-id'; // 用户池里创建的应用客户端ID

// Cognito的公钥集合地址，格式是固定的
const JWKS_URL = `https://cognito-idp.${COGNITO_REGION}.amazonaws.com/${USER_POOL_ID}/.well-known/jwks.json`;

// 创建远程JWK集，jose会自动处理公钥的获取、缓存和更新
const jwks = createRemoteJWKSet(new URL(JWKS_URL));

/**
 * 解码并验证AWS Cognito的IdToken
 * @param {string} idToken - 前端或客户端传来的IdToken字符串
 * @returns {Promise<Object>} 验证成功后返回解码后的token payload
 */
async function decodeAndVerifyCognitoIdToken(idToken) {
  try {
    // 同时完成解码和验证
    const { payload } = await jwtVerify(idToken, jwks, {
      // 验证token的受众必须是你的应用客户端ID
      audience: APP_CLIENT_ID,
      // 验证token的签发者必须是你的Cognito用户池
      issuer: `https://cognito-idp.${COGNITO_REGION}.amazonaws.com/${USER_POOL_ID}`,
      // 限制token的最大有效期，防止过期token被复用
      maxTokenAge: '24h'
    });

    return payload;
  } catch (error) {
    console.error('IdToken验证失败:', error.message);
    // 这里可以根据业务需求自定义错误处理，比如返回null或者抛出业务异常
    throw error;
  }
}

// 使用示例
// 在Node.js里（比如Express接口中）或者浏览器里都能这么调用
decodeAndVerifyCognitoIdToken('your-real-id-token-here')
  .then(validatedPayload => {
    console.log('解码验证成功，用户信息:', validatedPayload);
    // 接下来可以用payload里的信息做业务逻辑，比如获取用户ID、邮箱等
  })
  .catch(err => {
    // 处理验证失败的情况，比如返回401未授权
  });

为什么这个方案靠谱？ #

• 跨环境兼容：jose在浏览器里用原生的Web Crypto API，Node.js里用内置的crypto模块，自动适配，不用额外配置。
• 安全可靠：不像jwt-decode只解码不验证，jwtVerify会自动验证签名、过期时间、受众、签发者等关键信息，避免伪造token的风险。
• 性能优化：createRemoteJWKSet会自动缓存Cognito的公钥，不用每次验证都去请求AWS的接口，减少网络开销。

注意事项 #

• 一定要替换代码里的COGNITO_REGION、USER_POOL_ID和APP_CLIENT_ID，这些信息都能在AWS控制台的Cognito用户池管理页面找到。
• 如果是在浏览器环境中使用，不用怕CORS问题——AWS的JWKS URL默认允许跨域请求。
• 验证失败的情况要妥善处理，比如在Node.js接口里返回401状态码，在浏览器里提示用户重新登录。

备注：内容来源于stack exchange，提问作者Jaekov Segovia