使用Serverless Framework，能否通过Facebook令牌登录AWS Cognito用户池获取JWT？

当然可以！这个流程不仅完全可行，而且是AWS Cognito用户池原生支持的标准玩法，刚好匹配你用Serverless Framework结合JWT授权器的需求，整体逻辑非常合理。

具体实现流程 #

• 前置配置：确保你的Cognito用户池已经添加了Facebook作为身份提供商（IdP）——配置好Facebook的App ID、App Secret，同时在Facebook开发者后台开启对应权限（比如public_profile、email），并在Cognito里完成用户属性映射（比如把Facebook的email字段映射到Cognito用户池的email属性）。
• 移动端侧操作：用户通过Facebook登录拿到access_token后，调用Cognito的InitiateAuth（或AdminInitiateAuth，根据是否需要管理员权限）API，指定AuthFlow为FACEBOOK，并将Facebook的access_token放在AuthParameters的FACEBOOK_ACCESS_TOKEN字段中。
• Cognito处理逻辑：Cognito会自动验证Facebook token的合法性（包括签名、过期时间、权限范围），如果是该用户首次登录，会自动在用户池中创建对应的账户；如果是老用户，则直接关联已有账户。验证通过后，Cognito会返回用户池颁发的ID Token、Access Token和Refresh Token。
• API Gateway授权：之后用户就可以用Cognito颁发的ID Token（或Access Token，取决于你的授权器配置）作为请求头的Authorization值，通过API Gateway的JWT授权器访问Lambda函数——这和你现在处理普通注册用户的流程完全一致。

为什么这个流程合理？ #

• 完美适配Serverless Framework：你提到的Serverless JWT授权器，刚好支持直接配置Cognito用户池作为认证源，不需要编写自定义授权器代码。只需要在serverless.yml里指定用户池ARN和受众，授权器就会自动验证JWT的有效性。
• 统一身份管理：所有用户（普通注册用户、Facebook/Google社交用户）都在同一个用户池中管理，不需要额外维护联合身份池，简化了用户属性、分组、权限的统一配置和管理。
• 安全可靠：Cognito会帮你完成Facebook token的验证工作，你不用自己处理签名校验、过期检查等繁琐逻辑，降低了安全风险。

小提示 #

• 注意Facebook access token的权限范围：如果需要关联用户邮箱等属性，要确保在Facebook登录时请求了对应权限，并且在Cognito的IdP配置中正确映射这些属性。
• 处理账户合并：如果用户之前已经用邮箱注册了Cognito账户，后续用Facebook登录时，可以在Cognito中配置属性匹配规则（比如用email匹配），避免创建重复账户。
• Serverless配置示例参考：

functions:
  myProtectedLambda:
    handler: src/handler.main
    events:
      - http:
          path: /api/protected
          method: get
          authorizer:
            type: COGNITO_USER_POOLS
            authorizerId: !Ref MyCognitoAuthorizer

resources:
  Resources:
    MyCognitoAuthorizer:
      Type: AWS::ApiGateway::Authorizer
      Properties:
        Name: CognitoUserPoolAuthorizer
        Type: COGNITO_USER_POOLS
        IdentitySource: method.request.header.Authorization
        ProviderARNs:
          - arn:aws:cognito-idp:${self:provider.region}:${self:provider.accountId}:userpool/${self:custom.userPoolId}

内容的提问来源于stack exchange，提问作者Ashish Kadam