App与内置WebView间的SSO实现方案咨询及安全实践疑问

可行的免登方案 #

• 利用Cognito Token直接完成认证
  用户在App端通过Cognito登录后，会获取到ID Token、Access Token等凭证。打开WebView前，可将ID Token通过Authorization: Bearer {ID_TOKEN}的请求头注入WebView的请求中（避免用URL参数传递，防止明文泄露）。
  Spring Boot侧需配置Cognito OIDC认证：

  1. 配置Spring Security信任Cognito的issuer地址
  2. 自定义过滤器或认证逻辑，接收请求头中的ID Token，调用Cognito的JWKS端点验证签名、有效期等信息，验证通过后将认证对象存入SecurityContextHolder，完成登录并跳转至目标页面。

• 适配Cognito隐式授权流
  让Spring Boot应用支持Cognito的隐式授权流（Implicit Flow），在App的WebView中打开Spring Boot的授权入口。由于用户已在App端完成Cognito登录，WebView会自动复用Cognito的会话Cookie（需确保WebView开启Cookie共享，且相关域名在Cognito的允许列表内），无需再次输入账号密码即可完成授权跳转。
  这种方式符合OAuth2标准流程，安全性更高，无需自行处理Token验证逻辑。

• 注入Cognito会话Cookie
  若Spring Boot应用已配置Cognito会话管理，App端登录后可获取Cognito的会话Cookie，将其注入WebView的CookieManager中。WebView访问Spring Boot应用时会自动携带该Cookie，从而实现免登。
  注意需确保App与Spring Boot应用的域名在Cognito的允许列表内，且WebView启用Cookie支持。

关于/login/{username}/{password}端点的实践判断 #

这种将用户名密码直接放在URL路径中的端点属于严重不良实践，原因如下：

• 安全风险极高：URL会被记录在服务器日志、浏览器历史、代理日志中，用户名密码明文暴露，极易被窃取。
• 违反HTTP规范：GET请求不应用于包含敏感信息的状态变更操作，登录操作应使用POST请求，且敏感信息需放在请求体中（即便如此，也不建议直接传递明文密码）。
• 扩展性不足：后续无法适配多因素认证、第三方登录等复杂场景。
• 背离Cognito设计初衷：绕开了Cognito提供的密码策略、会话管理、风险检测等安全机制，失去了身份认证服务的核心价值。

内容的提问来源于stack exchange，提问作者Abdullah Gheith