在Java中获取Amazon Cognito Access Token的技术问询

看起来你在测试要求隐式授权流Access Token的端点时，踩了几个常见的Cognito流程误区，我来帮你理清楚：

首先，厘清几个关键概念 #

• 隐式授权流是前端（浏览器/APP）专用的流程，直接从Cognito用户池的授权端点获取Access Token，不需要后端交换步骤。
• 你用USER_SRP_AUTH拿到的Token虽然是用户池的有效Token，但属于服务器端认证流，部分严格的端点会检查Token的颁发上下文（比如关联的授权流程类型），导致拒绝。
• GetOpenIdTokenForDeveloperIdentity获取的是Cognito身份池的OpenID Token，用于访问AWS服务（比如S3、API Gateway的IAM授权），和用户池的Access Token完全不是一个体系，没法直接兑换成你需要的Token。

方案1：模拟隐式授权流获取Token（严格匹配端点要求） #

如果端点必须要隐式流的Token，你需要模拟前端的授权流程：

1. 构造Cognito授权端点的GET请求，参数如下：
   • response_type=token（指定返回Access Token）
   • client_id=你的用户池客户端ID
   • redirect_uri=你客户端注册的回调URL
   • scope=需要的权限范围（比如openid、email）
   • state=随机字符串防CSRF
2. 处理用户登录（自动化测试可以用headless浏览器、或者提前获取登录Cookie复用）
3. 回调URL的哈希片段中会包含access_token、id_token等信息

Java代码示例（用Apache HttpClient，需处理登录Cookie）：

import org.apache.http.client.methods.HttpGet;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.util.EntityUtils;
import java.net.URLEncoder;
import java.nio.charset.StandardCharsets;

public class CognitoImplicitFlowTest {
    public static void main(String[] args) throws Exception {
        String clientId = "YOUR_CLIENT_ID";
        String redirectUri = URLEncoder.encode("YOUR_REGISTERED_REDIRECT_URI", StandardCharsets.UTF_8);
        String scope = URLEncoder.encode("openid", StandardCharsets.UTF_8);
        String state = "random_test_state_123";
        String userPoolDomain = "YOUR_USER_POOL_DOMAIN.auth.eu-west-1.amazoncognito.com";

        String authUrl = String.format(
            "https://%s/oauth2/authorize?response_type=token&client_id=%s&redirect_uri=%s&scope=%s&state=%s",
            userPoolDomain, clientId, redirectUri, scope, state
        );

        try (CloseableHttpClient httpClient = HttpClients.createDefault()) {
            HttpGet request = new HttpGet(authUrl);
            // 这里需要添加登录后的Cookie，可通过先手动登录获取，或用表单提交用户名密码到登录端点
            String response = EntityUtils.toString(httpClient.execute(request).getEntity());
            // 解析回调响应的哈希部分获取access_token
            System.out.println(response);
        }
    }
}

方案2：用ADMIN_NO_SRP_AUTH获取兼容Token（测试环境推荐） #

如果端点只是需要用户池的Access Token，不严格检查授权流程，ADMIN_NO_SRP_AUTH是更高效的测试方式——它允许直接用用户名密码获取Token，流程简单，且Token结构和隐式流一致：

步骤： #

1. 在Cognito用户池客户端的「Auth Flows Configuration」中开启ALLOW_ADMIN_NO_SRP_AUTH
2. 使用以下代码获取Token：

final String clientId = "YOUR_CLIENT_ID";
final String region = "eu-west-1";
final String username = "TEST_USERNAME";
final String password = "TEST_PASSWORD";

AWSCognitoIdentityProvider cognitoClient = AWSCognitoIdentityProviderClientBuilder.standard()
        .withRegion(region)
        .build();

final Map<String, String> authParams = new HashMap<>();
authParams.put("USERNAME", username);
authParams.put("PASSWORD", password);

final InitiateAuthRequest authRequest = new InitiateAuthRequest();
authRequest.withAuthFlow(AuthFlowType.ADMIN_NO_SRP_AUTH)
        .withClientId(clientId)
        .withAuthParameters(authParams);

InitiateAuthResult result = cognitoClient.initiateAuth(authRequest);
String accessToken = result.getAuthenticationResult().getAccessToken();

验证Token有效性 #

拿到Token后，可以解码检查：

• aud字段必须和你的客户端ID一致
• iss字段必须是你的用户池域名（https://cognito-idp.eu-west-1.amazonaws.com/eu-west-1_XXXXXXX）
• token_use字段为access

内容的提问来源于stack exchange，提问作者Nelson Larios