使用Cognito的RevokeToken后仍能授权API Gateway请求是什么原因？

• 首先要明确：API Gateway 内置的Cognito用户池授权器默认不会做令牌吊销校验。它对访问令牌的校验完全是本地完成的：仅验证JWT的签名有效性、过期时间、发行方、受众这些令牌本身自带的字段，不会主动请求Cognito服务查询该令牌是否已被吊销。
• RevokeToken接口的作用仅为两个：
  • 阻止被吊销的刷新令牌生成新的访问令牌/ID令牌
  • 将关联的访问令牌写入Cognito的全局令牌吊销列表，但不会修改已经签发的JWT内容，也不会主动通知下游服务该令牌已失效
• JWT本身是无状态的自包含凭证，只要它的签名合法、还在有效期内，所有仅做本地校验的环节都会判定它是合法凭证，这是JWT的通用设计特性，并非Cognito的功能故障。

• 方案1：缩短Cognito访问令牌的有效时长，最短可配置为5分钟，大幅压缩已吊销令牌的可用时间窗口，无需修改现有授权逻辑
• 方案2：把API Gateway当前使用的默认Cognito授权器替换为Lambda自定义授权器，在自定义校验逻辑中增加令牌吊销状态的校验，可选择调用Cognito接口查询或自行维护吊销令牌的缓存列表
• 方案3：如果你使用的是REST API类型的API Gateway，可直接开启Cognito授权器的令牌撤销检查开关，开启后授权器会自动校验令牌是否在Cognito的吊销列表中。

内容的提问来源于stack exchange，提问作者Qiao Li