AWS Cognito移动端原生Google登录的架构方案咨询

现有已实现的方案 #

我已经基于AWS Cognito用户池（User Pools）结合Google作为社交身份提供商（IdP）实现了一套可用的登录流程，具体逻辑如下：

• 调用Cognito Hosted UI的授权端点
• 页面重定向到Google的网页版登录/授权页面
• 登录完成后，Cognito用户池会自动验证Google返回的ID Token，再通过授权码交换得到Cognito用户池的ID Token
• 最终使用这个Cognito ID Token去认证我的API Gateway

这套流程在Web端运行正常，但现在想在Android（Flutter）移动端复现，却遇到了用户体验和流程设计的问题。

现有方案的用户体验痛点 #

Cognito Hosted UI必须打开网页，这带来了以下明显的用户体验降级：

• Google登录只能通过WebView或自定义标签页实现
• 用户无法使用Android原生的账号选择器（从系统已登录账号中直接选择）
• 和使用原生SDK的应用相比，整个登录流程显得繁琐且不贴合系统生态

期望的移动端原生登录流程 #

我想要实现一套完全贴合移动端原生体验的登录流程，具体需求如下：

• 应用使用原生Google Sign-In SDK（比如Flutter的google_sign_in插件）
• 直接从Android系统获取Google ID Token
• 使用这个Token和AWS Cognito（身份池？）完成认证
• 理想情况下，应用通过从Cognito获取的凭证自动创建用户（如果用户不存在），后续无需密码，仅通过Google即可快速登录（这需要支持通过邮箱或user_id查找用户、自动创建用户、无密码登录用户池）

当前卡住的核心问题 #

目前我已经验证了身份池（Identity Pool）可以将Google ID Token兑换成AWS凭证，但始终找不到不通过Hosted UI就能将这些凭证和用户池用户关联起来的方法：

• 我不想创建基于密码的用户，也不想手动管理联邦用户的关联关系
• 有没有办法既使用原生Google登录，又让Cognito用户池来统一管理用户身份？

核心问题总结 #

是否存在AWS官方推荐的Cognito流程，能够同时满足以下所有需求：

• 移动端使用原生Google登录，完全贴合系统生态
• 无需用户输入密码
• 不依赖WebView或Hosted UI
• 同时保留Cognito用户池的完整用户身份管理能力（注册、服务条款同意、账号删除等）

我不需要具体的代码实现，只想要最简洁的AWS官方推荐方案思路，感谢！

内容来源于stack exchange