使用AWS Cognito时，除回调URL外的更优JWT Token获取方式咨询

当然有比回调URL携带Token更安全、更合理的方式，以下是几种推荐方案：

• Authorization Code Flow + PKCE（首推）
  这是OAuth 2.0针对公开客户端（SPA、移动端）的标准安全流程，Cognito原生支持。流程核心是：前端先向Cognito请求授权码（code），而非直接拿Token；拿到code后，再通过后端或前端的安全请求，携带code和PKCE验证参数，向Cognito的Token端点换取JWT。Token会返回在HTTP响应体中，完全不会暴露在URL里，避免了浏览器历史、服务器日志泄露Token的风险，PKCE还能防止授权码被拦截盗用。

• 静默授权（Silent Authentication）
  针对已登录用户的Token刷新场景，无需跳转回调URL。通过在页面中嵌入iframe，向Cognito的授权端点发起静默请求，Cognito会基于已有的会话Cookie返回新的Token，整个过程在后台完成，不会修改当前页面URL，也不会打断用户操作，同时避免了Token出现在URL中的安全问题。

• 利用官方SDK封装方法
  使用AWS Amplify或官方AWS JavaScript SDK时，无需手动处理URL解析。比如调用Auth.signIn()完成登录后，直接通过Auth.currentSession()就能获取包含JWT的会话对象，SDK内部已经封装了安全的Token获取、存储和刷新逻辑，既不用自己解析回调URL参数，也能规避URL传Token的风险。

相比回调URL带Token的方案，上述方式解决了Token暴露在URL中带来的日志留存、历史记录泄露、URL长度限制等问题，安全性和可用性都更高。

内容的提问来源于stack exchange，提问作者No Such Agency