使用WSO2认证的移动应用能否传递令牌完成AWS Lex身份验证

可以实现，你完全可以将移动端已获取的WSO2访问令牌传递给AWS Lex，完成聊天机器人侧的用户身份校验，具体实现逻辑和注意事项如下：

• 移动端调用Lex服务API时，将WSO2访问令牌放到请求的sessionAttributes（会话属性）字段中传递，该字段为Lex原生支持的自定义参数传递入口，不会干扰正常的意图识别逻辑。
• 为Lex配置验证钩子（Validation Hook）或者履约Lambda函数，Lex收到用户请求后会自动触发该Lambda，你可以直接在Lambda中从会话属性里提取WSO2访问令牌。
• 在Lambda中内置WSO2令牌校验逻辑，调用WSO2的令牌自省接口（token introspection endpoint）校验令牌的有效性、过期时间、关联的用户权限信息，校验通过再执行后续的机器人响应逻辑，校验失败直接返回身份验证失败的提示给移动端即可。

• 不要将WSO2访问令牌放到用户输入文本中传递，避免会话日志泄露敏感凭证，sessionAttributes的访问权限可以通过IAM单独配置管控，安全性更有保障。
• 首次校验令牌通过后，可以将WSO2返回的用户ID、角色等非敏感信息存入会话属性，同一会话的后续请求不需要重复校验令牌，降低不必要的接口调用开销。
• 如果你使用的是AWS Lex V2版本，对应的会话属性字段为sessionState.sessionAttributes，注意对应版本调整参数结构即可。

内容的提问来源于stack exchange，提问作者sayali