如何结合Cookie会话使用AWS Cognito？相关疑问咨询

1. AWS Cognito与会话存储的关系 #

• AWS Cognito会存储用户的会话相关核心数据，包括令牌有效期、用户认证状态等，无需你自己的数据库存储基础会话信息。
• 用户通过Cognito登录后，会获取到三类令牌：
  • ID Token：用于身份验证，包含用户基础身份信息；
  • Access Token：用于访问受保护的资源或API；
  • Refresh Token：用于在令牌过期时免登录获取新的有效令牌。
• 若需要存储自定义会话数据（如用户个性化设置），仍需依赖自己的存储服务（比如你正在使用的DynamoDB）。

2. 结合Passport.js与AWS Cognito实现会话功能 #

你可以通过passport-amazon-cognito-oauth2策略完成集成：

• 配置策略时，传入Cognito用户池ID、客户端ID、客户端密钥等必要信息；
• 用户登录后，Passport会处理Cognito返回的令牌，建议将令牌存储在HttpOnly、Secure属性的Cookie中，替代传统服务器端会话存储；
• 后续请求时，后端从Cookie中提取令牌，调用Cognito的验证接口校验令牌有效性，无需查询自有数据库。

3. 关于AWS官方博客方案的适用性 #

你提到的那篇博客方案完全适配你的需求：

• 方案核心是将Cognito签发的JWT令牌存入HttpOnly Cookie，规避XSS攻击风险；
• API Gateway会自动完成Cookie中JWT令牌的验证，无需后端手动处理；
• 虽然用到了JWT，但这里的JWT由Cognito全生命周期管理，解决了你阅读的两篇反JWT文章中提到的“会话无法撤销”问题——Cognito支持主动调用API撤销Refresh Token，直接终止用户会话。

内容的提问来源于stack exchange，提问作者YulePale