如何通过Java服务端及API从Amazon Cognito获取JWT令牌？

没问题，当然可以通过API从Amazon Cognito获取JWT令牌，而且完全能用Java服务端实现你想要的「用用户凭证请求→完成授权→返回JWT」流程。下面我给你一步步讲清楚怎么操作：

必须有！Amazon Cognito基于OAuth 2.0和OpenID Connect标准提供了专门的令牌端点，常用的两种获取方式适合服务端场景：

• Resource Owner Password Credentials Flow：直接用用户名+密码请求令牌，适合高度信任的内部服务（但要谨慎，因为会直接处理用户密码）
• Authorization Code Flow：先获取授权码再换令牌，更安全，是官方推荐的生产级方案

如果你需要直接用用户凭证请求，这个流程最直接，代码实现如下：

1. 先准备好Cognito配置信息 #

你需要从Cognito控制台拿到这些参数：

public class CognitoConstants {
    // 替换成你的用户池令牌端点，格式是https://<用户池域名>.auth.<区域>.amazoncognito.com/oauth2/token
    public static final String TOKEN_ENDPOINT = "https://your-user-pool-domain.auth.us-east-1.amazoncognito.com/oauth2/token";
    public static final String CLIENT_ID = "your-app-client-id";
    public static final String CLIENT_SECRET = "your-app-client-secret"; // 如果是机密型客户端才需要，公开型可忽略
    public static final String GRANT_TYPE = "password";
}

2. 编写令牌获取代码 #

这里用Spring的RestTemplate来发请求，你也可以用OkHttp、Apache HttpClient等工具：

import org.springframework.http.HttpHeaders;
import org.springframework.http.MediaType;
import org.springframework.util.LinkedMultiValueMap;
import org.springframework.util.MultiValueMap;
import org.springframework.web.client.RestTemplate;
import java.util.Base64;

public class CognitoJwtService {

    public String fetchJwtToken(String username, String password) {
        RestTemplate restTemplate = new RestTemplate();
        
        // 构建请求头：如果是机密客户端，需要Basic认证
        HttpHeaders headers = new HttpHeaders();
        headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED);
        if (CognitoConstants.CLIENT_SECRET != null && !CognitoConstants.CLIENT_SECRET.isEmpty()) {
            String authCredentials = CognitoConstants.CLIENT_ID + ":" + CognitoConstants.CLIENT_SECRET;
            String encodedAuth = Base64.getEncoder().encodeToString(authCredentials.getBytes());
            headers.set(HttpHeaders.AUTHORIZATION, "Basic " + encodedAuth);
        }
        
        // 构建请求体参数
        MultiValueMap<String, String> requestParams = new LinkedMultiValueMap<>();
        requestParams.add("grant_type", CognitoConstants.GRANT_TYPE);
        requestParams.add("client_id", CognitoConstants.CLIENT_ID);
        requestParams.add("username", username);
        requestParams.add("password", password);
        // 可选：添加需要的scope，比如openid、email等
        // requestParams.add("scope", "openid email");
        
        // 发送请求并解析响应
        CognitoTokenResponse tokenResponse = restTemplate.postForObject(
                CognitoConstants.TOKEN_ENDPOINT,
                requestParams,
                CognitoTokenResponse.class
        );
        
        return tokenResponse != null ? tokenResponse.getIdToken() : null;
    }

    // 定义响应实体类，用来映射Cognito返回的JSON
    private static class CognitoTokenResponse {
        private String id_token; // JWT身份令牌
        private String access_token; // 访问令牌
        private String refresh_token; // 刷新令牌
        private Integer expires_in;
        private String token_type;

        // Getter方法
        public String getIdToken() {
            return id_token;
        }

        // 其他Getter省略，按需添加
    }
}

3. 关键注意事项 #

• 确保你的Cognito客户端在控制台开启了「Resource Owner Password Credentials」授权流程（在App client settings里配置）
• 如果是公开型客户端（比如前端SPA），不要使用客户端密钥，直接去掉Basic认证的逻辑
• 生产环境中更推荐用Authorization Code Flow，因为不会直接处理用户密码，安全性更高

如果你想采用更安全的方式，流程是这样的：

1. 引导用户跳转到Cognito的授权端点，用户登录后会返回一个授权码
2. 服务端拿着授权码、客户端ID、客户端密钥请求令牌端点，换取JWT令牌
   这个流程避免了服务端直接接触用户密码，符合OAuth 2.0的安全最佳实践，代码实现可以参考Spring Security OAuth2 Client的相关逻辑来整合。

内容的提问来源于stack exchange，提问作者r123