如何用AppAuth实现移动端与AWS Cognito自托管登录/注册流程对接？

我之前帮好几个移动端开发者搞定过用AppAuth对接自托管AWS Cognito的需求，其实核心就是把Cognito的OIDC兼容特性和AppAuth的token管理能力结合起来，完全不需要依赖Cognito的Hosted UI。下面是一步步的实操建议，附关键代码示例，不管你是Android还是iOS，逻辑都是通的：

1. 先把AWS Cognito用户池的关键配置搞定 #

首先得在AWS控制台把用户池的App客户端设置调整好，适配自托管流程：

• 进入你的用户池，打开App client settings页面
• 勾选开启Authorization code grant和Refresh token（这两个是AppAuth安全处理token的基础）
• 在Callback URLs里添加你的移动端自定义Scheme，比如com.yourapp.auth://callback（这个要和后面AppAuth的配置完全对应）
• 关闭Hosted UI选项，确保走自托管流程
• 记录三个核心参数：用户池的OIDC域名（格式是https://<your-domain>.auth.<region>.amazoncognito.com）、App Client ID、如果是保密客户端的话还要记Client Secret（移动端建议用公开客户端，不用Secret更安全）
• 另外在App client的Authentication flows里，开启ALLOW_USER_PASSWORD_AUTH和ALLOW_REFRESH_TOKEN_AUTH，这两个是密码登录和刷新token的必要开关

2. 集成AppAuth到移动端项目 #

以Android为例（iOS的集成逻辑一致，只是语法不同）：
首先在build.gradle里添加AppAuth依赖：

implementation 'net.openid:appauth:0.11.1'

然后初始化Cognito的OIDC配置，告诉AppAuth要对接的服务端点：

// 替换成你自己的Cognito域名
String cognitoDomain = "https://<your-domain>.auth.<region>.amazoncognito.com";
AuthorizationServiceConfiguration cognitoConfig = new AuthorizationServiceConfiguration(
    Uri.parse(cognitoDomain + "/oauth2/authorize"), // 授权端点
    Uri.parse(cognitoDomain + "/oauth2/token")      // Token获取端点
);

3. 实现自托管登录流程（收集账号密码后获取Token） #

因为是自托管，你完全可以自己设计登录UI，收集用户的用户名和密码，然后通过AppAuth发起密码授权请求获取Token：

// 从你的登录UI获取用户输入的账号密码
String username = "<user-input-username>";
String password = "<user-input-password>";

// 构建Token请求
TokenRequest loginRequest = new TokenRequest.Builder(
    cognitoConfig,
    "<your-app-client-id>"
)
.setGrantType(GrantType.PASSWORD)
.setUsername(username)
.setPassword(password)
.setScopes(Arrays.asList("openid", "email", "profile")) // 按需申请权限，比如获取用户邮箱、基本信息
.build();

// 发起请求
AuthorizationService authService = new AuthorizationService(getApplicationContext());
authService.performTokenRequest(
    loginRequest,
    new AuthorizationService.TokenResponseCallback() {
        @Override
        public void onTokenRequestCompleted(@Nullable TokenResponse response, @Nullable AuthorizationException ex) {
            if (response != null && ex == null) {
                // 成功拿到Token！这里可以把Token持久化保存
                String idToken = response.idToken;       // 身份Token，包含用户基本信息
                String accessToken = response.accessToken; // 访问Token，用来调用Cognito或其他AWS服务
                String refreshToken = response.refreshToken; // 刷新Token，用来获取新的Access Token
                // 建议用AppAuth的TokenStorage来管理Token，自动处理持久化和过期检查
            } else {
                // 处理登录错误：比如账号密码错误、网络问题、用户未验证等
                String errorMsg = ex != null ? ex.getMessage() : "未知错误";
                Log.e("AuthError", "登录失败: " + errorMsg);
            }
        }
    }
);

4. 自托管注册流程（先创建用户再登录） #

注册流程需要先调用Cognito的API创建用户，这一步可以用AWS Amplify SDK或者原生Cognito SDK，比如用Amplify的示例：

// 从注册UI获取用户输入的账号、密码、邮箱
AuthSignUpOptions options = AuthSignUpOptions.builder()
    .userAttribute(AuthUserAttributeKey.email(), "<user-email>")
    .build();

Amplify.Auth.signUp(
    "<username>",
    "<password>",
    options,
    result -> {
        if (result.isSignUpComplete()) {
            // 注册完成，直接走上面的登录流程
        } else {
            // 需要验证邮箱/手机号，引导用户输入验证码
            String nextStep = result.getNextStep().toString();
            Log.i("AuthSignUp", "需要验证: " + nextStep);
        }
    },
    error -> Log.e("AuthSignUp", "注册失败", error)
);

用户验证完成后，再调用前面的登录流程获取Token即可。

5. Token过期自动刷新 #

当Access Token过期时，用Refresh Token通过AppAuth刷新：

// 从本地存储中取出之前保存的Refresh Token
String savedRefreshToken = "<your-saved-refresh-token>";

TokenRequest refreshRequest = new TokenRequest.Builder(
    cognitoConfig,
    "<your-app-client-id>"
)
.setGrantType(GrantType.REFRESH_TOKEN)
.setRefreshToken(savedRefreshToken)
.build();

authService.performTokenRequest(refreshRequest, new AuthorizationService.TokenResponseCallback() {
    @Override
    public void onTokenRequestCompleted(@Nullable TokenResponse response, @Nullable AuthorizationException ex) {
        if (response != null) {
            // 更新本地存储的Token
            String newAccessToken = response.accessToken;
            String newRefreshToken = response.refreshToken;
        } else {
            // 刷新失败，可能需要引导用户重新登录
        }
    }
});

6. 关键注意事项 #

• 自定义Scheme配置：Android要在AndroidManifest.xml里添加Intent Filter，iOS要在Info.plist里配置URL Scheme，确保回调能正确触发
• Token安全存储：不要把Token存在SharedPreferences或者UserDefaults里，要用系统的安全存储，比如Android的Keystore，iOS的Keychain
• 避免硬编码敏感信息：如果用了Client Secret，绝对不能硬编码在客户端，建议通过后端代理请求Token
• 错误处理：要覆盖各种异常场景，比如网络错误、Token过期、用户未验证、账号被锁定等，给用户友好的提示

内容的提问来源于stack exchange，提问作者manuelBetancurt