ID.me与AWS Cognito集成时认证流出现'invalid_client'错误

常见原因分析 #

invalid_client错误本质是ID.me无法识别或验证你的应用身份，常见触发点包括：

• Client ID/Secret不匹配或配置错误
• 重定向URI两边不一致
• 身份提供商端点/算法配置不符
• 环境（沙箱/生产）混用

排查步骤 #

• 核对凭证准确性：
  1. 从ID.me控制台重新复制Client ID和Client Secret，手动粘贴到AWS Cognito身份提供商的对应字段，避免复制粘贴产生的隐形空格或字符
  2. 确认ID.me应用状态为「已启用」，未处于审核或封禁状态
• 校验重定向URI：
  把AWS Cognito用户池的回调URL（格式通常为https://<你的用户池域名>/oauth2/idpresponse）完整复制到ID.me应用的重定向URI列表中，确保协议（http/https）、域名、路径完全一致，哪怕一个斜杠都不能差
• 检查Cognito配置细节：
  1. 确认Cognito中身份提供商的授权端点、令牌端点对应ID.me的正确环境（沙箱和生产环境端点不同）
  2. 验证签名算法设置为RS256（ID.me默认算法）
• 隔离测试定位问题：
  用Postman或curl直接调用ID.me的OAuth授权流程，绕开Cognito，看是否能正常获取授权码。如果能，问题出在Cognito配置；如果不能，问题在ID.me应用本身

解决方案总结 #

1. 统一两边的Client ID/Secret、重定向URI，确保无拼写、大小写或格式错误
2. 保持沙箱/生产环境的凭证、端点一致，不混用
3. 按ID.me要求配置Cognito身份提供商的算法和端点
4. 确认ID.me应用已完成必要的审核或配置，处于可用状态

内容的提问来源于stack exchange，提问作者JuliaDeVille