如何在AWS Cognito触发器函数中获取ID Token？

答案是可行的，但获取方式取决于你使用的触发器类型：

一、不同触发器的获取逻辑 #

1. Post Authentication触发器 #

用户完成认证后触发，事件对象中直接包含ID Token，无需额外调用API，可直接提取使用。

2. Post Confirmation触发器 #

用户完成邮箱/手机号验证后触发，此时用户尚未完成正式认证，事件对象中没有ID Token。需要通过调用Cognito的AdminInitiateAuth API，以用户凭证（临时密码或永久密码）发起认证来获取Token。注意：如果是用户自主注册场景，Post Confirmation触发时用户可能还未设置永久密码，需要先处理密码设置逻辑（比如调用AdminSetUserPassword设置临时密码）。

二、实现步骤 #

通用准备 #

• 为Lambda函数的IAM角色添加权限：允许调用cognito-idp:AdminInitiateAuth（仅Post Confirmation需要）。
• 确保Cognito应用客户端启用了ADMIN_USER_PASSWORD_AUTH认证流程（在用户池的应用客户端设置中开启）。

三、代码示例 #

JavaScript（Node.js） #

Post Authentication触发器直接获取ID Token

exports.handler = async (event) => {
    // 从event中提取ID Token的JWT字符串
    const idToken = event.request.idToken.jwtToken;
    
    // 示例：用ID Token调用其他服务
    console.log("ID Token:", idToken);
    
    return event;
};

Post Confirmation触发器调用API获取ID Token

const AWS = require('aws-sdk');
const cognito = new AWS.CognitoIdentityServiceProvider();

exports.handler = async (event) => {
    const userPoolId = event.userPoolId;
    const userName = event.userName;
    // 注意：临时密码需根据实际场景获取，比如管理员创建用户时的初始密码，或通过AdminSetUserPassword设置
    const userPassword = '用户的认证密码';
    const clientId = '你的Cognito应用客户端ID';

    const authParams = {
        AuthFlow: 'ADMIN_USER_PASSWORD_AUTH',
        UserPoolId: userPoolId,
        ClientId: clientId,
        AuthParameters: {
            USERNAME: userName,
            PASSWORD: userPassword
        }
    };

    try {
        const authResult = await cognito.adminInitiateAuth(authParams).promise();
        const idToken = authResult.AuthenticationResult.IdToken;
        
        console.log("获取到的ID Token:", idToken);
        // 在此处用ID Token调用目标服务
        
    } catch (err) {
        console.error("获取ID Token失败:", err);
        // 处理认证失败逻辑，比如记录日志或抛出异常
    }

    return event;
};

Python #

Post Authentication触发器直接获取ID Token

def lambda_handler(event, context):
    # 提取ID Token的JWT字符串
    id_token = event['request']['idToken']['jwtToken']
    
    print(f"ID Token: {id_token}")
    # 示例：用ID Token调用其他服务
    
    return event

Post Confirmation触发器调用API获取ID Token

import boto3

cognito_client = boto3.client('cognito-idp')

def lambda_handler(event, context):
    user_pool_id = event['userPoolId']
    user_name = event['userName']
    user_password = '用户的认证密码'
    client_id = '你的Cognito应用客户端ID'

    try:
        auth_response = cognito_client.admin_initiate_auth(
            AuthFlow='ADMIN_USER_PASSWORD_AUTH',
            UserPoolId=user_pool_id,
            ClientId=client_id,
            AuthParameters={
                'USERNAME': user_name,
                'PASSWORD': user_password
            }
        )
        
        id_token = auth_response['AuthenticationResult']['IdToken']
        print(f"获取到的ID Token: {id_token}")
        # 在此处用ID Token调用目标服务
        
    except Exception as e:
        print(f"获取ID Token失败: {str(e)}")

    return event

四、关键注意事项 #

• Post Confirmation场景的密码问题：如果是用户自主注册，Post Confirmation触发时用户可能还未设置永久密码，此时调用AdminInitiateAuth会失败。可以在触发器中先调用AdminSetUserPassword为用户设置一个临时密码，再发起认证。
• Token有效期：ID Token默认有效期为1小时，触发器中建议即时使用，若需长期使用需处理Token刷新逻辑。
• 权限控制：Lambda的IAM角色权限需最小化，仅授予必要的Cognito API调用权限。

内容的提问来源于stack exchange，提问作者tobias