java - 如何通过 Java API 使用 AWS Cognito 对用户进行身份验证

Question

我们正在构建一个带有 Web(角度)门户(用于管理目的)的 iOS/android 应用程序。后端 API 将使用 Java 构建，考虑到 Web 门户可以有不同类型的用户，我正在考虑使用 Spring 安全性。

我正在考虑使用我的后端服务对使用 AWS Cognito 的用户进行身份验证。我不想将 iOS/Andorid/Web 直接与 AWS Cognito 集成，因为将来我们可能需要切换到其他提供商。

我不确定这是否可能，但正在考虑这样的事情:1. 注册API:iOS/Android/Web(with role) 使用邮箱和密码调用我的后端服务。后端服务向 AWS Cognito 注册用户。 AWS Cognito 将为该用户返回一个标识符，我将在本地数据库中使用相同的标识符来创建用户和角色及其他表的黑白链接。后端服务将向客户端(iOS/Android 和 Web)返回一个 json 响应，说明用户已创建。

1. 登录 API:iOS/Android/Web(具有角色)使用电子邮件和密码调用我的后端服务。后端服务将电子邮件和密码传递给 AWS Cognito。如果用户可用，AWS Coginto 返回一个 token (带有过期时间)，该 token 通过后端服务传递给客户端(iOS/Andorid/Web)，如果不可用，则抛出异常。

2. 获取用户信息 API:用户登录后，iOS/Android/Web(具有角色)使用 token (从登录 API 获取)调用我的后端服务。后端服务使用 AWS Cognito 验证 token 。如果 token 有效，AWS Cognito 会返回用户信息，例如电子邮件和用于在我的本地数据库中识别用户的标识符。

3. 任何其他 API:所有其他后端都用作获取用户信息，即客户端 (iOS/Andorid/Web) 使用 token 调用后端服务，并且支持服务使用相同的 token 来使用 AWS Cognito 对用户进行身份验证.

4. 注销 API。调用此 API 后， token 应失效。

我浏览了很多 AWS Cognito 的文档，但我读得越多，就越感到困惑。如果有人可以让我知道上述是否可以通过 AWS Cognito 实现，如果可以，我该如何继续进行，这将是一个很大的帮助。

提前致谢!!

Answer 1

我认为您应该在客户端上与 Cognito 集成，即使您明确指出了以下内容:

I don't want to integrate the iOS/Andorid/Web directly with AWS Cognito as in future we might need to switch to other providers.

您通过在服务器端处理聚合的客户凭据，增加了对客户的风险和潜在威胁。这听起来不像是您应用程序的核心业务。这是 Cognito 的核心业务。

在我看来，在客户端集成 Cognito 可以解决您的所有问题。我只是不确定是否要取回用户元数据(例如电子邮件地址)，但无论如何， 自己做这部分工作比做所有事情要少得多。

此外，即使您将来想要切换身份提供者，Cognito 也支持多个(Google、Facebook、Amazon)甚至自定义一个，如果您确实需要的话。