从AWS Cognito解码的JWT暴露PoolId和ClientId是否正常？

我创建了一个对接AWS Cognito进行认证的ASP.NET Core应用，认证控制器代码如下：

public class AuthenticationController : Controller {
    [HttpPost]
    [Route("api/signin")]
    public async Task<ActionResult<string>> SignIn(User user) {
        var cognito = new AmazonCognitoIdentityProviderClient(RegionEndpoint.APSoutheast2);
        var request = new AdminInitiateAuthRequest {
            UserPoolId = "ap-southeast-2_mypoolid",
            ClientId = "myclientid",
            AuthFlow = AuthFlowType.ADMIN_USER_PASSWORD_AUTH
        };
        request.AuthParameters.Add("USERNAME", user.Username);
        request.AuthParameters.Add("PASSWORD", user.Password);
        var response = await cognito.AdminInitiateAuthAsync(request);
        return Ok(response.AuthenticationResult);
    }
}

Startup.ConfigureServices配置如下：

services.AddAuthentication("Bearer")
    .AddJwtBearer(options => {
        options.Audience = "client key";
        options.Authority = "https://cognito-idp.ap-southeast-2.amazonaws.com/ap-southeast-poolid";
    });

我的Bearer令牌可正常工作，能成功获取access/id/refresh令牌。出于对Cognito和AWS的好奇，我在jwt.io解码令牌后发现其中包含PoolId和ClientId，我原本认为这些信息需严格保密。请问这种情况是否正常，还是我在配置中出现了问题？

别担心，这种情况完全正常，你的配置没有任何问题！

为什么PoolId和ClientId会出现在JWT中？ #

JWT的Payload部分本来就是设计用来传递公开元数据的，这些信息并不需要保密：

• PoolId：是Cognito用户池的唯一标识符，相当于令牌的"签发地址"，服务端需要它验证令牌是否来自合法的用户池——不同用户池的令牌不能通用。
• ClientId：代表你的应用在用户池中的身份，服务端靠它确认令牌是发给你的应用的（对应你配置里的Audience），避免令牌被其他无关应用滥用。

这些信息属于公开范畴，AWS官方也明确说明它们不属于敏感数据。

真正需要严格保密的内容 #

你要重点保护的是这些信息：

• 客户端密钥（Client Secret）：如果你的应用是机密型客户端（比如后端服务），这个密钥绝对不能泄露，否则攻击者可以冒充你的应用发起认证请求。
• 用户密码：明文存储或传输用户密码是大忌，一定要通过安全的方式处理。
• Refresh Token：它可以用来获取新的Access Token，一旦泄露，攻击者能长期冒充用户身份，建议存储在HttpOnly的Cookie中，避免前端脚本访问。

额外小建议 #

1. 你当前使用的ADMIN_USER_PASSWORD_AUTH流，需要后端持有AWS凭证（代码里默认从环境变量/配置文件加载），务必确保这些AWS凭证（Access Key/Secret Key）不泄露。
2. 如果是前端应用，更推荐使用USER_PASSWORD_AUTH或者OAuth2授权码流，避免在客户端直接处理用户密码，提升安全性。

内容的提问来源于stack exchange，提问作者The_Chud