AWS Cognito客户端凭证流未触发Pre-token-generation Lambda问题咨询

核心结论 #

Cognito的Pre-token生成Lambda触发器在**客户端凭证流（Client Credentials Flow）**下确实不会被调用，这是AWS的设计行为，并非你的操作有误。

具体说明 #

• 客户端凭证流属于无用户参与的OAuth2流，Cognito在这种场景下生成的访问令牌仅包含客户端相关的默认声明，不会触发依赖用户上下文的Pre-token生成逻辑。
• 官方文档虽未单独高亮这一点，但从触发器的设计逻辑可推导：Pre-token生成触发器的核心是基于用户身份信息（比如用户池用户属性、认证上下文）自定义令牌内容，而客户端凭证流没有关联的用户实体，因此触发器没有执行的前提。

替代方案 #

如果需要在客户端凭证流的令牌中添加自定义声明或范围，可通过以下方式实现：

• 直接在Cognito客户端配置中添加自定义范围，发起请求时指定这些范围，令牌会自动包含已配置的范围。
• 在服务端接收到令牌后，通过自定义逻辑补充所需声明（需确保服务端能安全验证令牌的合法性）。

内容的提问来源于stack exchange，提问作者Martin Macak