Node.js对接Cognito启用Implicit Grant后#后的token服务端无法接收怎么办

URL中的哈希片段（#后的内容）仅存在于浏览器侧，不会随HTTP请求发送到服务端，这是HTTP协议的标准规则。你使用的Implicit Grant授权模式的设计初衷就是将token直接返回给前端应用，原生不支持服务端直接获取对应token。

方案1：前端解析哈希后转发给Node.js后端 #

这个方案不需要修改Cognito的授权配置，只需要在回调页增加前端逻辑：

• 步骤1：访问/login回调页时，前端JS先解析哈希中的token参数：

// 回调页前端代码
if (window.location.hash) {
  // 去掉开头的#号，解析哈希参数
  const hashParams = new URLSearchParams(window.location.hash.slice(1));
  const idToken = hashParams.get('id_token');
  const accessToken = hashParams.get('access_token');

  if (idToken) {
    // 发送token到后端校验接口
    fetch('/api/auth/verify', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({
        id_token: idToken,
        access_token: accessToken
      })
    }).then(res => res.json())
    .then(() => {
      // 校验完成后清除哈希避免泄露，跳转到业务页
      window.location.replace('/dashboard');
    })
  }
}

• 步骤2：Node.js后端新增校验接口接收token，完成校验逻辑（示例基于Express）：

const express = require('express');
const jwt = require('jsonwebtoken');
const jwksClient = require('jwks-rsa');
const app = express();
app.use(express.json());

// 初始化Cognito JWKS客户端，用于获取签名公钥
const cognitoJwksClient = jwksClient({
  jwksUri: 'https://cognito-idp.<AWS区域>.amazonaws.com/<用户池ID>/.well-known/jwks.json'
});

function getSigningKey(header, callback) {
  cognitoJwksClient.getSigningKey(header.kid, (err, key) => {
    callback(null, key.publicKey || key.rsaPublicKey);
  });
}

app.post('/api/auth/verify', (req, res) => {
  const { id_token: idToken } = req.body;
  // 校验token合法性
  jwt.verify(idToken, getSigningKey, {
    audience: '<Cognito客户端ID>',
    issuer: 'https://cognito-idp.<AWS区域>.amazonaws.com/<用户池ID>'
  }, (err, decoded) => {
    if (err) return res.status(401).json({ error: '无效凭证' });
    // 校验通过后设置HttpOnly Cookie存储会话状态
    res.cookie('auth_session', '<自定义会话标识>', {
      httpOnly: true,
      secure: process.env.NODE_ENV === 'production'
    });
    res.json({ status: 'success' });
  });
});

方案2：切换为Authorization Code Grant授权模式（更推荐） #

如果不想依赖前端转发逻辑，更安全的做法是修改Cognito客户端的授权配置，将Implicit Grant替换为Authorization Code Grant：

• 配置修改后，Cognito登录完成会重定向到http://localhost:8000/login?code=xxx，授权码code会放在Query参数中，Node.js后端可以直接在/login的GET接口中获取到req.query.code
• 后端拿到code后，调用Cognito的OAuth2 token接口，即可兑换到id_token、access_token等凭证，全程凭证不会暴露在浏览器端，规避XSS泄露风险。

内容的提问来源于stack exchange，提问作者Rasty