AWS用户池与Facebook登录后端认证：令牌选择及后端兼容咨询

好问题！我来帮你理清这个场景的最佳实践：

1. Facebook登录后应使用的令牌 #

你不需要直接传递Facebook原生的访问令牌给后端，而是要通过AWS Cognito的联邦身份认证流程，将Facebook身份转换成Cognito用户池签发的标准访问令牌（也就是和用户池注册用户拿到的getAccessToken().getJwtToken()格式一致的JWT）。

2. 无需修改后端的实现方法 #

完全可以不用改动后端代码！核心是让Cognito帮你完成Facebook身份的校验与令牌转换，具体步骤如下：

• 配置Cognito身份提供商：在你的AWS Cognito用户池中，添加Facebook作为第三方身份提供商，填写好Facebook应用的App ID、App Secret，并确保回调URL和Facebook开发者后台的设置一致。
• 前端完成Facebook登录：按照Facebook的OAuth流程，让用户完成登录，获取到Facebook的访问令牌（或授权码）。
• 转换为Cognito令牌：调用Cognito的InitiateAuth API（如果用AWS Amplify的话，直接调用Auth.federatedSignIn({provider: 'Facebook'})更省心），传入Facebook的访问令牌。Cognito会验证这个令牌的有效性，然后返回属于你的用户池的访问令牌（JWT）——这个令牌和用户池注册用户生成的令牌完全相同。

这样后端拿到的还是Cognito签发的JWT，用你现有的$jku对应的JWKS验证逻辑就能直接通过，完全不需要修改后端代码。

为什么不直接用Facebook令牌？ #

如果直接传递Facebook的令牌给后端，你的当前验证逻辑是针对Cognito的密钥集，根本无法验证Facebook的令牌（两者的签名密钥完全不同）。要支持这种方式，后端必须新增逻辑去调用Facebook的验证接口或获取Facebook的JWKS，这显然违背了你“无需修改后端”的需求，所以不推荐。

内容的提问来源于stack exchange，提问作者Ips