Cognito 身份验证是否通过网络发送哈希？

Question

我正在使用 AWS Amplify（如果这有什么不同，我假设后端 API 无论如何都会控制这一点）并且想了解当用户登录时，他们的密码是否以明文形式发送（尽管在 TLS 连接中）或如果它被散列 - 如果是散列算法是什么。

有人知道吗？谢谢。

Answer 1

根据我的经验（我没有从 AWS 编写的任何内容来支持这一点）Amplify 发送一个 USER_AUTH，然后是一个类似于 SSH 的密码质询。这意味着密码不是通过网络发送的，不是纯文本的，也不是散列的。该方法类似于here 的解释：客户端通过回答挑战来证明它拥有密码。使用了散列机制，但使用的散列不仅仅是密码的散列。