AWS Cognito是否支持通配符式Shopify自定义IdP（OAuth2）配置？

核心结论 #

AWS Cognito 不支持直接配置通配符形式的自定义OAuth2身份提供商。

原因解析 #

• Cognito自定义IdP配置要求填写固定、完整的授权端点、令牌端点URL，无法识别*.myshopify.com/admin/oauth这类通配符格式的动态地址。
• Shopify每个店铺的OAuth2端点都是独立专属的，而Cognito的IdP配置是静态生效的，无法根据请求动态切换对应端点。

可行替代方案 #

• 动态创建店铺专属IdP：针对每个接入的Shopify店铺，通过AWS SDK（如aws cognito-idp create-identity-provider命令或Boto3）动态创建对应的自定义IdP配置，填入该店铺的专属OAuth2端点信息。需维护店铺与IdP的关联映射，适合店铺规模可控的场景。
• 搭建OAuth代理中间层：开发轻量代理服务作为Cognito与Shopify的中间枢纽。用户发起认证请求时，代理根据请求中的店铺域名，动态转发到对应Shopify店铺的OAuth2端点，完成授权后将令牌返回给Cognito处理。此方案可让Cognito仅配置一个指向代理的静态IdP，适配所有Shopify店铺的动态需求。
• 结合Shopify App Bridge实现认证：若为Shopify内嵌应用，可利用Shopify App Bridge获取店铺会话凭证，再将该凭证传递给Cognito完成身份验证，绕开动态OAuth端点的配置问题。

内容的提问来源于stack exchange，提问作者Luke1988