如何利用AWS Cognito access_token获取AWSCredentials对象

你说得没错，直接调用STS的AssumeRoleWithWebIdentity确实不是Android开发者的最优选择——AWS已经为我们封装了更简洁、安全的Cognito专属工具类，完全不需要手动处理STS的调用逻辑。

推荐方案：使用AWSMobileClient类 #

AWSMobileClient是AWS SDK for Android中整合了Cognito用户池、身份池功能的核心类，它会自动处理从用户池access_token到临时AWSCredentials的转换，还包含了凭证缓存、自动刷新等实用功能。

步骤1：初始化AWSMobileClient

在应用启动时（比如自定义Application类的onCreate方法中）完成初始化，配置好你的用户池和身份池信息：

@Override
public void onCreate() {
    super.onCreate();
    AWSMobileClient.getInstance().initialize(getApplicationContext(), new Callback<UserStateDetails>() {
        @Override
        public void onResult(UserStateDetails result) {
            // 初始化成功，可根据用户状态做后续处理
        }

        @Override
        public void onError(Exception e) {
            Log.e("AppInit", "初始化AWSMobileClient失败", e);
        }
    });
}

步骤2：获取AWSCredentials

当用户已经通过Cognito用户池认证并拿到access_token后，AWSMobileClient会自动关联身份池的角色映射规则，你只需要调用异步方法避免阻塞主线程：

AWSMobileClient.getInstance().getCredentialsAsync(new Callback<AWSCredentials>() {
    @Override
    public void onResult(AWSCredentials result) {
        // 成功获取临时凭证，可用于调用S3、Lambda等AWS服务
        String accessKey = result.getAWSAccessKeyId();
        String secretKey = result.getAWSSecretKey();
        String sessionToken = result.getSessionToken();
    }

    @Override
    public void onError(Exception e) {
        Log.e("Credentials", "获取凭证失败", e);
    }
});

为什么不直接用STS？ #

• 自动处理逻辑：AWSMobileClient会帮你管理登录凭证的缓存、过期自动刷新，以及根据用户池的用户组自动匹配身份池对应的IAM角色，不用自己写这些重复代码。
• 安全合规：官方封装的工具类会遵循AWS的安全最佳实践，比如避免凭证泄露、正确处理权限映射，比手动调用STS更可靠。

旧SDK兼容方案（不推荐） #

如果你还在使用较旧版本的AWS SDK，也可以用CognitoCachingCredentialsProvider，但需要手动关联用户池的access_token：

CognitoCachingCredentialsProvider credentialsProvider = new CognitoCachingCredentialsProvider(
        getApplicationContext(),
        "你的身份池ID",
        Regions.US_EAST_1 // 替换为你的区域
);

// 将用户池的access_token作为登录凭证传入
Map<String, String> logins = new HashMap<>();
logins.put("cognito-idp.<区域>.amazonaws.com/<用户池ID>", access_token);
credentialsProvider.setLogins(logins);

// 同步获取凭证（建议用异步方式，避免阻塞）
AWSCredentials credentials = credentialsProvider.getCredentials();

总的来说，优先选择AWSMobileClient，它是AWS官方推荐的最新方案，能让你更高效、安全地完成凭证获取流程。

内容的提问来源于stack exchange，提问作者mipnw