未设置OAuthFlow却触发Cognito的InvalidOAuthFlowException如何解决？

问题根源 #

虽然AWS文档标注AllowedOAuthFlow为非必填参数，但只要你设置了AllowedOAuthScopes，Cognito就会默认启用client_credentials授权流。而client_credentials流是客户端以自身身份请求令牌，完全不涉及具体用户，因此像profile、email这类需要用户上下文的scope并不被支持，这就是触发异常的核心原因。

解决办法 #

既然你需要profile和email这两个scope，就得明确指定支持用户上下文的授权流，比如authorization_code或implicit，具体修改如下：

在创建用户池客户端的请求中添加AllowedOAuthFlows配置：

CreateUserPoolClientRequest req = new CreateUserPoolClientRequest();

req.setUserPoolId(userPoolId);
req.setClientName(appName);

List<String> scopes = new ArrayList<String>();
scopes.add("profile");
scopes.add("email");

req.setAllowedOAuthScopes(scopes);

// 新增：指定允许的OAuth授权流，根据应用场景选择
List<String> allowedFlows = new ArrayList<>();
allowedFlows.add("authorization_code"); // 适合服务器端应用，安全性更高
// allowedFlows.add("implicit"); // 适合前端单页应用
req.setAllowedOAuthFlows(allowedFlows);

CreateUserPoolClientResult result = idProviderClient.createUserPoolClient(req);

额外说明：

• 如果你确实需要使用client_credentials流，必须移除profile、email这类用户相关的scope，改用客户端级别的权限范围。
• 授权流的选择需匹配应用架构：authorization_code通过令牌交换获取最终凭证，适合后端服务；implicit直接返回令牌，适合纯前端场景。

内容的提问来源于stack exchange，提问作者Luciana