使用AWS Cognito认证REST API的最佳实践及令牌过期处理问询

先说结论：用刷新令牌获取新访问令牌是最优方案，完全不需要留存用户的用户名和密码。

一、标准处理流程 #

• 应用首次通过你的get_token端点拿到access_token和refresh_token后，只需要把refresh_token存到安全的地方：移动端用系统自带的Keychain/Keystore，Web端用HttpOnly Cookie（别存在localStorage），用户名密码用完就丢，绝对不要存。
• 每次调用API前先查access_token的exp字段（JWT里的过期时间戳）：
  • 没过期就直接用当前令牌发请求；
  • 快过期或者已经过期了，就调用Cognito原生的/oauth2/token端点，传grant_type=refresh_token、你的refresh_token和客户端ID这些参数，直接换个新的access_token（一般还会返回新的refresh_token，记得替换旧的存起来）。
• 如果refresh_token也失效了（比如用户半个月没登、改了密码或者账号被禁用），再让用户重新登录拿新的令牌对。

二、为什么不能存用户名密码？ #

• 风险太高：明文或者加密存账号密码，一旦存储被攻破，用户账号直接暴露；而refresh_token可以在Cognito控制台直接吊销，就算泄露了也能及时止损。
• 不符合规范：OAuth2这套机制本来就是靠短期访问令牌+长期刷新令牌的组合，核心目的就是避免长期存储敏感凭证。

三、刷新令牌方案的好处 #

• 用户体验好：后台静默刷新令牌，用户根本感知不到续期过程，不用反复输密码；
• 权限可控：你可以在Cognito用户池里配置refresh_token的有效期（最长30天），也能随时手动吊销某个令牌；
• 这是AWS官方推荐的标准玩法，踩坑概率低。

四、要注意的细节 #

• refresh_token一定要安全存储，别图方便明文存在本地文件或者前端存储里；
• 刷新令牌失败的时候，别死循环重试，直接跳登录页面引导用户重新登录；
• 可以在Cognito控制台监控令牌的使用情况，万一有异常能及时发现。

参考资料提示 #

• AWS Cognito官方文档里关于“刷新令牌获取新访问令牌”的详细说明；
• AWS Cognito用户池OAuth2授权流程的完整指引；
• AWS安全最佳实践中关于凭证存储的相关建议。

内容的提问来源于stack exchange，提问作者writes_on