如何在AWS Cognito Node.js SDK中验证后自动登录用户

方案1：前端临时持有密码，验证后立即登录（无需持久化存储密码） #

用户注册时输入的密码仅在内存中临时保留，完成验证流程后立即用于登录，获取令牌后直接丢弃密码，避免存储到sessionStorage等有安全风险的位置。

• 核心流程：

  1. 用户输入用户名、密码、邮箱/手机号，调用Cognito signUp接口完成注册
  2. 用户接收并输入验证码，调用confirmSignUp完成身份验证
  3. 立即使用内存中临时保存的密码调用signIn（Cognito SDK方法），获取访问令牌和刷新令牌
  4. 将令牌存储到HttpOnly、Secure的Cookie中（比sessionStorage更安全，可抵御XSS攻击），同时丢弃内存中的密码

• 代码示例（基于AWS Amplify SDK）：

// 注册操作
async function handleSignUp(username, password, email) {
  try {
    await Auth.signUp({
      username,
      password,
      attributes: { email }
    });
    return { success: true };
  } catch (err) {
    console.error('注册失败:', err);
    return { success: false, error: err.message };
  }
}

// 验证并自动登录
async function handleConfirmAndLogin(username, password, confirmationCode) {
  try {
    // 完成验证
    await Auth.confirmSignUp(username, confirmationCode);
    // 立即登录获取令牌
    const user = await Auth.signIn(username, password);
    // 提取令牌
    const { accessToken, refreshToken } = user.signInUserSession;
    // 将令牌存入HttpOnly Cookie（生产环境建议由后端设置，确保HttpOnly属性生效）
    document.cookie = `accessToken=${accessToken.jwtToken}; path=/; secure; SameSite=Strict`;
    document.cookie = `refreshToken=${refreshToken.token}; path=/; secure; SameSite=Strict; HttpOnly`;
    // 密码使用后直接丢弃，变量会被内存回收
    return { success: true, user };
  } catch (err) {
    console.error('验证或登录失败:', err);
    return { success: false, error: err.message };
  }
}

方案2：后端通过ADMIN_NO_SRP_AUTH流程生成令牌（无前端密码依赖） #

如果前端完全不想接触密码，可借助后端服务调用Cognito的adminInitiateAuth接口，使用ADMIN_NO_SRP_AUTH认证流直接为验证后的用户生成令牌（注：该方案需后端持有用户明文密码，仅适用于管理员创建用户、或注册时后端同步存储加密密码并可解密的场景）。

• 核心流程：

  1. 用户完成注册验证后，前端将用户名发送至后端接口
  2. 后端使用AWS SDK调用adminInitiateAuth，指定AuthFlow: "ADMIN_NO_SRP_AUTH"，传入用户名和密码
  3. 后端获取Cognito返回的令牌后，设置为HttpOnly Cookie返回给前端

• 后端代码示例（Node.js）：

const { CognitoIdentityProviderClient, AdminInitiateAuthCommand } = require("@aws-sdk/client-cognito-identity-provider");

const client = new CognitoIdentityProviderClient({ region: "你的AWS区域" });

async function generateTokenForVerifiedUser(username, password) {
  const params = {
    AuthFlow: "ADMIN_NO_SRP_AUTH",
    ClientId: "你的Cognito App Client ID",
    UserPoolId: "你的Cognito用户池ID",
    AuthParameters: {
      USERNAME: username,
      PASSWORD: password
    }
  };

  try {
    const command = new AdminInitiateAuthCommand(params);
    const response = await client.send(command);
    return {
      accessToken: response.AuthenticationResult.AccessToken,
      refreshToken: response.AuthenticationResult.RefreshToken
    };
  } catch (err) {
    console.error('生成令牌失败:', err);
    throw err;
  }
}

关键安全提示 #

• 绝对避免将密码存储到sessionStorage、localStorage等前端存储中，仅在内存中临时使用后立即丢弃
• 令牌存储优先使用HttpOnly、Secure、SameSite=Strict的Cookie，防止XSS攻击窃取令牌
• 生产环境中，建议后端负责设置Cookie，前端仅负责令牌的使用和刷新

内容的提问来源于stack exchange，提问作者Ewan Boyle