纯前端网站借助AWS Cognito实现OAuth2的授权码换令牌方案咨询

• AWS Cognito 自带授权码流的完整处理能力，不需要额外开发Lambda+API Gateway。你只需配置用户池的Google身份提供商，全程通过Cognito的OAuth2端点完成流程，不用前端直接对接Google的令牌接口。
• 正确流程如下：
  1. 前端引导用户访问Cognito授权端点：https://<你的用户池域名>/oauth2/authorize，指定response_type=code，搭配client_id、redirect_uri、scope等参数。
  2. 用户通过Google登录后，Cognito会将授权码返回给你配置的前端跳转地址——注意不要在前端直接用这个授权码换令牌，而是让前端把授权码发送到Cognito的令牌端点：https://<你的用户池域名>/oauth2/token，采用authorization_code模式兑换令牌。
  3. Cognito会自动完成与Google的授权码兑换，返回自身的访问令牌、ID令牌；若在用户池身份提供商设置中开启对应选项，还能返回Google的令牌。
• 这种方式的优势是：授权码虽会到达前端，但兑换操作由Cognito完成，既避免了前端直接处理敏感凭证（纯前端场景下Cognito支持公共客户端，无需密钥），也符合OAuth安全规范，无需额外后端服务。
• 你之前的问题出在直接让前端对接Google的令牌接口，改用Cognito作为中间层走完整OAuth流程即可解决授权码暴露带来的安全隐患。

内容的提问来源于stack exchange，提问作者Mumen Tayyem