AWS Cognito 用户池 OAuth REST API 调用示例是否存在？

Question

亚马逊似乎在鼓励人们只使用他们的客户端 SDK，但如果能看到授权和隐式授权流的一系列有效 REST 调用是什么样的，那就太好了。

授权和令牌端点的 AWS 文档是一个不错的开始： http://docs.aws.amazon.com/cognito/latest/developerguide/cognito-userpools-server-contract-reference.html

有人知道是否存在一些示例显示隐式和授权流的 REST 调用序列（针对 Cognito）？

Answer 1

我不知道任何有详细记录的内容。我认为您最好的选择是使用其中一个 SDK 启动测试应用程序并监控网络流量。 API 似乎没有很好的记录。

Answer 2

文档有点粗制滥造，但这里有一个示例 PHP cURL 调用，使用授权流程的授权代码获取 ID/Access 令牌：-

$url = 'https://<YOURDOMAIN>.auth.us-east-1.amazoncognito.com/oauth2/token';
$client_key = '<YOUR_CLIENT_ID>';
$client_secret = '<YOUR_CLIENT_SECRET>';

$data = [       'grant_type' => 'authorization_code',
                'client_id'=>$client_key, 'code'=>$_GET["code"],
                'redirect_uri'=>'<YOUR_REDIRECT_URI>'];

$handle = curl_init($url);
curl_setopt($handle, CURLOPT_VERBOSE, true);
curl_setopt($handle, CURLOPT_FOLLOWLOCATION, true);
curl_setopt($handle, CURLOPT_USERPWD, $client_key . ":" . $client_secret);
curl_setopt($handle, CURLOPT_RETURNTRANSFER, true);
$field_string = http_build_query($data);
curl_setopt($handle, CURLOPT_POSTFIELDS, $field_string);
$resp = json_decode(curl_exec($handle),true);

获得 ID 令牌后，您需要从

解析 JWK JSON 文件

https://cognito-idp.us-east-1.amazonaws.com/<USER_POOL_ID/.well-known/jwks.json

然后在令牌头中查找 kid 字段，并将其用作解码令牌的秘密。我使用了这个库：- https://github.com/firebase/php-jwt

因此令牌验证代码类似于：-

$jwks_json = file_get_contents("https://cognito-idp.us-east-1.amazonaws.com/<USER_POOL_ID>/.well-known/jwks.json");
$jwk = JWK::parseKeySet($jwks_json);

$tks = explode('.', <YOUR_TOKEN>);
list($headb64, $bodyb64, $cryptob64) = $tks;
$jwt_header = json_decode(base64_decode($headb64),true);
$jwt_body = json_decode(base64_decode($bodyb64),true);
$key=$jwk[$jwt_header["kid"]];

try
{
    $decoded = JWT::decode(<YOUR_TOKEN>, $key, array($jwt_header["alg"]));
    $decoded_array = (array) $decoded;
    // GREAT SUCCESS!
}
catch (\Exception $e)
{
    // TOKEN COULDN'T BE VALIDATED
}

AWS Cognito 用户池 OAuth REST API 调用示例是否存在？

AWS Cognito user pool OAuth REST API call examples exist?

oauth-2.0

amazon-cognito

aws-cognito