如何为已实现账号密码登录的AWS Cognito编程集成谷歌社交登录

你已经完成了Cognito用户池谷歌身份提供商配置、应用客户端OAuth配置，且Hosted UI可正常使用，说明基础配置无问题，可直接按以下步骤实现编程式集成：

步骤1：选择授权流程实现方式 #

两种方案可选，你可以根据业务需求选择：

• 方案一：无需对接谷歌SDK，直接通过Cognito OAuth端点实现
  不需要单独集成各社交平台的官方SDK，直接调用Cognito的OAuth 2.0 /authorize端点，请求参数指定identity_provider=Google、response_type=code、客户端ID、回调地址等必填参数，用户触发登录后会直接跳转到谷歌授权页面，授权完成后Cognito会向你配置的回调地址返回授权码code。
  如果你已经在使用amazon-cognito-identity-js库，可以直接使用库内封装的CognitoAuth类完成该流程，不需要手动拼接请求：初始化CognitoAuth实例时传入OAuth域名、客户端ID、回调/登出地址、响应类型等配置，调用getSession方法即可自动触发授权流程，不需要额外处理跳转逻辑。
• 方案二：集成谷歌官方SDK获取凭证
  直接在前端集成谷歌登录SDK，自定义谷歌登录按钮，用户点击后触发谷歌授权流程，直接拿到谷歌返回的id_token和access_token，全程不需要跳转到Cognito的Hosted UI，流程控制权完全在业务代码中。

步骤2：兑换Cognito用户凭证 #

根据你选择的授权方案，对应兑换Cognito颁发的用户凭证：

• 如果你拿到的是Cognito返回的授权码code：
  调用Cognito OAuth 2.0 /token端点，传入参数grant_type=authorization_code、code、client_id、redirect_uri，即可直接获取到Cognito颁发的id_token、access_token、refresh_token三个JWT凭证。如果你的应用客户端配置了客户端密钥，需要额外在请求头中携带Basic Auth校验信息。
  如果你使用amazon-cognito-identity-js的CognitoAuth类，库会自动完成凭证兑换，你可以直接在回调中拿到和用户名密码登录完全一致的CognitoUserSession对象。
• 如果你拿到的是谷歌返回的id_token/access_token：
  调用AWS SDK的getId接口传入谷歌身份凭证获取Cognito Identity ID，再调用getCredentialsForIdentity接口即可获取Cognito颁发的临时访问凭证；如果需要用户池的JWT令牌，可以调用initiateAuth接口，AuthFlow参数指定为EXTERNAL_PROVIDER_AUTH，传入第三方凭证即可兑换对应的JWT令牌。

步骤3：后续业务处理 #

拿到Cognito的用户凭证后，使用逻辑和你之前实现的用户名密码登录完全一致，你可以直接复用已有的凭证存储、身份校验、接口请求逻辑，不需要做额外调整。

注意事项 #

• 所有配置的回调地址需要和Cognito应用客户端、谷歌云控制台中配置的地址完全一致，否则会出现校验失败问题
• Cognito返回的授权码有效期仅5分钟，拿到后需要立即兑换凭证，避免过期失效
• 你可以提前在Cognito用户池中配置属性映射，将谷歌账号的邮箱、昵称、头像等信息自动同步到Cognito用户属性中，不需要额外开发同步逻辑

内容的提问来源于stack exchange，提问作者Dau