AWS授权端点重定向至登录端点问题咨询（Cognito用户池场景）

这是Cognito OAuth流程里很常见的情况，我之前排查过类似问题，主要原因和对应的解决办法如下：

核心原因分析 #

• 缺少OAuth授权请求的必填参数：Cognito的授权端点/oauth2/authorize需要特定参数才能触发授权流程，如果你的请求里没有携带关键参数，服务端会默认重定向到登录页面，而不是进入授权逻辑。比如你用的是Authorization Code Grant，必须携带response_type=code，还有client_id、redirect_uri、scope这些参数，缺一个都可能触发重定向。
• 用户未处于已认证状态：如果当前浏览器没有有效的Cognito用户会话，访问授权端点时，Cognito会先要求用户登录，这是符合OAuth流程的正常行为——毕竟要授权的话，得先确认用户身份对吧？
• 端点路径错误：你可能访问的不是正确的授权端点路径。正确的授权端点应该是/oauth2/authorize，如果只访问域名根路径（比如https://MY-DOMAIN.auth.us-east-1.amazoncognito.com/），Cognito会直接跳转到登录页，这是根路径的默认行为。

对应的解决办法 #

• 构造完整的授权请求URL：把所有必填参数都加上，正确的请求格式应该是这样的：

  https://MY-DOMAIN.auth.us-east-1.amazoncognito.com/oauth2/authorize?response_type=code&client_id=MY-CLIENT-ID&redirect_uri=https://MY_APP/redirect_uri&scope=email%20openid
  

  注意：scope里的空格要URL编码成%20，redirect_uri必须和你在App客户端配置的完全一致（包括大小写、路径），不能有任何差异。
• 确认用户会话状态：如果是正常业务流程，这个重登录是合理的——用户需要先登录，Cognito才会给你的应用返回授权码。如果你是测试，可以先通过Cognito的登录页面（比如访问https://MY-DOMAIN.auth.us-east-1.amazoncognito.com/login）登录你的测试用户，再访问授权端点，这时候应该就不会重定向到登录页了。
• 检查端点路径：确保你访问的是/oauth2/authorize这个路径，而不是域名的根路径或者其他错误路径。

另外可以额外确认一下App客户端的配置：比如回调URL是否和请求里的完全匹配，允许的OAuth流确实只勾选了Authorization Code Grant，允许的scope包含email和openid——这些配置如果有不一致，也可能导致异常重定向。

内容的提问来源于stack exchange，提问作者Drew Stevens