AWS Cognito接入KeyCloak外部身份提供商实现静默登录问题咨询

方案1（最推荐，直接解决参数透传问题）：配置Cognito OIDC身份提供商参数透传 #

Cognito本身支持将下游授权请求中的查询参数透传到上游身份提供商，操作步骤如下：

1. 进入AWS Cognito控制台，打开对应的用户池，切换到「身份提供商」标签页
2. 找到你已配置的Keycloak OIDC身份提供商，点击进入编辑页面
3. 找到「查询参数映射」配置模块，新增一条映射规则：
   • 入站请求参数键：prompt
   • 映射到上游IdP的参数名：prompt
4. 保存配置即可生效

配置完成后，你向Cognito /oauth2/authorize 接口发送的携带prompt=none的请求，在Cognito重定向到Keycloak时会自动携带该参数，Keycloak识别后不会弹出登录页，已登录状态会直接返回授权码，未登录则返回login_required错误，你在silentLogin的回调中捕获该错误即可走手动登录流程。

方案2：使用Amplify内置静默登录能力（无需额外引入oidc-client） #

如果你不想额外维护oidc-client依赖，可以直接用Amplify Auth自带的联邦登录能力传递静默参数：

try {
  await Auth.federatedSignIn({
    // 这里填写你在Cognito中为Keycloak身份提供商设置的名称
    provider: "Keycloak",
    customOAuthParameters: {
      prompt: "none"
    }
  })
  // 登录成功后会自动跳转到你配置的OAuth回调地址，之后调用Auth.currentSession()即可获取有效会话
} catch (err) {
  // 捕获到未登录错误时，展示手动登录入口即可
}

方案3：前端直接校验Keycloak登录态后兑换Cognito会话 #

如果以上方案受限于环境配置无法使用，可以采用旁路校验的方式实现：

1. 前端集成轻量的Keycloak JS适配器，调用silentCheckSso方法检测用户的Keycloak登录状态
2. 若用户已登录，拿到Keycloak返回的ID Token
3. 调用Cognito initiateAuth 接口，使用EXTERNAL_PROVIDER_AUTH认证流传入ID Token，直接兑换Cognito的用户会话和凭证

注意事项 #

• 确保Keycloak客户端配置开启了Support prompt=none选项，且你站点的域名已加入Keycloak的合法CORS源和重定向白名单
• 静默登录用的iframe回调地址需要单独配置，且加入Cognito的OAuth回调白名单，避免跨域拦截
• 不要在静默登录的回调页面加载主站业务逻辑，只需要处理凭证回传逻辑即可

内容的提问来源于stack exchange，提问作者Jafo Teng