如何恢复过期的令牌 [AWS Cognito]？

Question

我正在为我的网站使用 AWS。 1 小时后令牌过期，用户几乎无能为力。

现在我正在尝试像这样刷新凭据：

 function getTokens(session) {
   return {
     accessToken: session.getAccessToken().getJwtToken(),
     idToken: session.getIdToken().getJwtToken(),
     refreshToken: session.getRefreshToken().getToken()
   };
 };


function getCognitoIdentityCredentials(tokens) {
  const loginInfo = {};
  loginInfo[`cognito-idp.eu-central-1.amazonaws.com/eu-central-1_XXX`] = tokens.idToken;
  const params = {
    IdentityPoolId: AWSConfiguration.IdPoolId
    Logins: loginInfo
  };
  return new AWS.CognitoIdentityCredentials(params);
 };


 if(AWS.config.credentials.needsRefresh()) {
    clearInterval(messwerte_updaten);
    cognitoUser.refreshSession(cognitoUser.signInUserSession.refreshToken, (err, session) => {
      if (err) {
        console.log(err);
      }
      else {
        var tokens = getTokens(session);
               
        AWS.config.credentials = getCognitoIdentityCredentials(tokens);
       
        AWS.config.credentials.get(function (err) {
          if (err) {
            console.log(err);
          }
          else {
            callLambda();
          }
       });
     }
   });
 }

问题是，1 小时后，登录令牌刷新没有问题，但 2 小时后我无法再刷新登录令牌。

我也尝试过使用AWS.config.credentials.get()、AWS.config.credentials.getCredentials() 和AWS.config.credentials.refresh() 这也不起作用。

我收到的错误消息是：

配置中缺少凭据

登录令牌无效。令牌过期：1446742058 >= 1446727732

Answer 1

差不多 2 周后，我终于解决了。

您需要刷新令牌来接收新的 Id 令牌。获取 Refreshed Token 后，使用新的 Id Token 更新 AWS.config.credentials 对象。

这是一个如何设置的示例，运行顺利！

refresh_token = session.getRefreshToken();   // you'll get session from calling cognitoUser.getSession()

if (AWS.config.credentials.needsRefresh()) {

  cognitoUser.refreshSession(refresh_token, (err, session) => {
    if(err) {
      console.log(err);
    } 
    else {
      AWS.config.credentials.params.Logins['cognito-idp.<YOUR-REGION>.amazonaws.com/<YOUR_USER_POOL_ID>']  = session.getIdToken().getJwtToken();
      AWS.config.credentials.refresh((err)=> {
        if(err)  {
          console.log(err);
        }
        else{
          console.log("TOKEN SUCCESSFULLY UPDATED");
        }
      });
    }
  });
}

Answer 2

通常是通过附加逻辑拦截http请求来解决的。

function authenticationExpiryInterceptor() {
 // check if token expired, if yes refresh
}

function authenticationHeadersInterceptor() {
 // include headers, or no
}}

然后使用 HttpService 层

  return HttpService.get(url, params, opts) {
     return authenticationExpiryInterceptor(...)
            .then((...) => authenticationHeadersInterceptor(...))
            .then((...) => makeRequest(...))
  }

也可以通过代理解决http://2ality.com/2015/10/intercepting-method-calls.html

关于 AWS： https://docs.aws.amazon.com/AWSJavaScriptSDK/latest/AWS/Credentials.html

您对以下内容感兴趣：

• getPromise()
• refreshPromise()

Answer 3

我是这样实现的：

首先您需要授权用户使用服务并授予权限：

示例请求：

我是这样实现的：

首先您需要授权用户使用服务并授予权限：

示例请求：

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token&
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic aSdxd892iujendek328uedj
grant_type=authorization_code&
client_id={your client_id}
code=AUTHORIZATION_CODE&
redirect_uri={your rediect uri}

这将返回一个 Json，如下所示：

HTTP/1.1 200 正常 内容类型：application/json

{"access_token":"eyJz9sdfsdfsdfsd", "refresh_token":"dn43ud8uj32nk2je","id_token":"dmcxd329ujdmkemkd349r", "token_type":"Bearer", "expires_in":3600}

现在您需要根据您的范围获取访问令牌：

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic aSdxd892iujendek328uedj
grant_type=client_credentials&
scope={resourceServerIdentifier1}/{scope1} {resourceServerIdentifier2}/{scope2}

Json 将是：

HTTP/1.1 200 正常 内容类型：application/json

{"access_token":"eyJz9sdfsdfsdfsd", "token_type":"Bearer", "expires_in":3600}

现在这个 access_token 只在 3600 秒内有效，之后你需要交换它来获得一个新的访问令牌。为此，

从刷新令牌中获取新的访问令牌：

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'
Authorization=Basic aSdxd892iujendek328uedj
grant_type=refresh_token&
client_id={client_id}
refresh_token=REFRESH_TOKEN

回复：

HTTP/1.1 200 正常 内容类型：application/json

{"access_token":"eyJz9sdfsdfsdfsd", "refresh_token":"dn43ud8uj32nk2je", "id_token":"dmcxd329ujdmkemkd349r","token_type":"Bearer", "expires_in":3600}

你猜对了。

如果您需要更多详细信息go here。

Answer 4

这是使用 AWS Amplify 库刷新访问令牌的方法：

import Amplify, { Auth } from "aws-amplify";

Amplify.configure({
  Auth: {
    userPoolId: <USER_POOL_ID>,
    userPoolWebClientId: <USER_POOL_WEB_CLIENT_ID>
  }
});

try {
    const currentUser = await Auth.currentAuthenticatedUser();
    const currentSession = currentUser.signInUserSession;
    currentUser.refreshSession(currentSession.refreshToken, (err, session) => {
      // do something with the new session
    });
  } catch (e) {
    // whatever
  }
};

更多讨论在这里：https://github.com/aws-amplify/amplify-js/issues/2560。