Flutter中Amplify Auth获取的Cognito ID Token无法通过API Gateway授权

这种跨平台同配置但授权结果不一致的情况，核心原因大概率是两端获取的ID Token存在细节差异，或是Flutter端的Token获取/使用流程有疏漏，以下是具体排查和解决方向：

1. 对比两端ID Token的JWT内容 #

用jwt.io解析Flutter和iOS端拿到的ID Token，重点核对以下字段：

• iss（签发者）：确认两端值完全一致（格式通常为https://cognito-idp.{region}.amazonaws.com/{userPoolId}），排查Flutter端是否存在拼写或域名差异。
• aud（受众）：如果API Gateway的Cognito Authorizer配置了指定的audience（即用户池客户端ID），需确保Flutter Token的aud字段与该配置完全匹配。
• exp（过期时间）：检查Flutter端的Token是否已过期，避免使用缓存的旧Token发起请求。
• 自定义Claims/Scope：若API Gateway Authorizer依赖特定自定义声明或scope，对比两端Token是否包含对应内容。

2. 强制刷新Flutter端的Token #

fetchAuthSession默认可能返回缓存的Token，尝试强制刷新后再获取：

final cognitoPlugin = Amplify.Auth.getPlugin(AmplifyAuthCognito.pluginKey);
final result = await cognitoPlugin.fetchAuthSession(
  options: const FetchAuthSessionOptions(forceRefresh: true)
);
final idToken = result.userPoolTokensResult.value.idToken.raw;

3. 验证Amplify配置的一致性 #

即便复制了配置，仍需仔细核对Flutter的amplifyconfiguration.dart与iOS的amplifyconfiguration.json中Auth部分的关键参数：

• userPoolId、userPoolClientId是否完全一致
• 若使用OAuth流程，oauth配置中的redirectUri、scopes等参数是否匹配
• 排查Flutter配置是否遗漏了iOS配置中的额外权限声明

4. 升级Flutter Amplify Auth插件版本 #

旧版本的amplify_auth_cognito插件可能存在Token生成的bug，尝试升级到最新稳定版：
在pubspec.yaml中更新依赖版本：

dependencies:
  amplify_auth_cognito: ^latest_version

执行flutter pub get完成依赖更新。

5. 检查API请求的Token携带格式 #

确认Flutter端调用API时，是否将ID Token正确放在Authorization请求头中，格式为Bearer {idToken}，与iOS端的请求头格式完全一致。

内容的提问来源于stack exchange，提问作者Toru