Flutter集成AWS Cognito Google登录无法加载授权页排查

第一优先级排查配置错误 #

• 参数不统一：代码中存在跨区域配置冲突，授权URL拼接使用的用户池ID为us-east-1_XXXXXXXXX，初始化CognitoUserPool时传入的用户池ID为ap-southeast-1_xxxxxxxxx，所有位置的用户池ID、区域、客户端ID必须和Cognito控制台参数完全一致，禁止跨区域混用。
• 托管域名拼接错误：现有代码拼接逻辑为https://${COGNITO_POOL_URL}.amazoncognito.com，如果COGNITO_POOL_URL直接填入用户池ID，生成的是无效域名。Cognito托管登录域名需要先在控制台「应用集成-域名」菜单单独配置，最终格式为https://{自定义前缀}.auth.{区域}.amazoncognito.com，必须使用配置完成后生成的完整域名作为请求前缀，不能直接用用户池ID拼接。

Cognito控制台漏配项（漏配任意项都会直接拦截授权请求，无法跳转Google登录页） #

• 打开对应应用客户端配置页，将代码中使用的回调地址myapp://加入「允许的回调URL」列表，同时将该地址加入「允许的登出URL」列表。
• 进入「应用客户端-OAuth 2.0」配置板块，勾选授权代码授予为允许的OAuth流程，在允许的自定义范围中勾选代码用到的email、openid、profile、aws.cognito.signin.user.admin四个权限。
• 进入「身份提供商」板块，确认已正确绑定Google身份源，填入有效的Google OAuth客户端ID、密钥，同时在「属性映射」中将Google返回的email、profile等字段与Cognito用户池属性做对应映射。

移动端配置修正 #

• 删除代码中硬编码的低版本Chrome UserAgent：当前写死的UA对应Chrome 62版本，已被Google OAuth服务停止兼容，会直接返回页面不可用错误，移除自定义userAgent参数，使用WebView默认UA即可。
• Android端：在AndroidManifest.xml中给WebView所在Activity添加android:hardwareAccelerated="true"属性，同时添加android:usesCleartextTraffic="true"，避免跨域跳转被系统拦截。
• iOS端：在Info.plist中将myapp加入LSApplicationQueriesSchemes列表，同时添加NSAllowsArbitraryLoadsInWebContent = true的ATS配置，允许WebView加载外部OAuth域名。
• 不要在Get.to路由方法中匿名构建WebView组件，将WebView登录页单独抽为独立的StatelessWidget，避免路由生命周期异常导致WebView加载中断、导航回调失效。

代码逻辑bug修复 #

• token请求参数位置错误：OAuth2授权码换token接口要求所有参数放在form格式的请求body中，不能拼在URL后。现有代码将grant_type、client_id、code、redirect_uri全部拼接在URL query中，即使授权页跳转成功，该步骤也会返回400错误。
  修正后的token请求代码：

final response = await http.post(
  Uri.parse("https://${替换为完整Cognito托管域名}/oauth2/token"),
  body: {
    'grant_type': 'authorization_code',
    'client_id': COGNITO_CLIENT_ID,
    'code': authCode,
    'redirect_uri': 'myapp://'
  },
  headers: {'Content-Type': 'application/x-www-form-urlencoded'},
);

• 导航回调解析优化：Cognito回调时可能在code参数后追加state等额外参数，现有字符串截取逻辑可正常运行，建议使用Uri类解析回调地址获取code参数，避免特殊字符导致解析失败。

问题复现截图 #

• 移动端运行效果：
  
• Web端直接访问授权URL运行效果：
  

内容的提问来源于stack exchange，提问作者NiiTii