amazon-web-services - TOKEN 端点返回没有客户端密码的 invalid_client

Question

我在使用 Amazon Cognito 中的授权代码流时遇到困难。我正在尝试构建的工作流程如下:

用户使用内置 Cognito UI 进行身份验证。

Cognito 使用授权码重定向回来。

我将代码发送到服务器，在那里它使用/oauth2/token 端点交换 token 。

我创建了一个没有客户端 secret 的客户端。我使用 Cognito UI 进行身份验证，取回代码，然后使用 Postman 发送以下内容:

URL: https://MY-DOMAIN/oauth2/token
Method: POST
Headers: 
Content-Type: application/x-www-form-urlencoded
Body:
  grant_type=authorization_code&
  client_id=<my-client-id>&
  code=<code-from-cognito-ui>&
  redirect_uri=<my-redirect-url>

我不使用授权，因为没有客户端 secret 。

作为返回，我收到:

Code: 400
Body: { "error": "invalid_client" }

应用程序客户端被允许在 AWS Cognito 控制台中授予授权代码。

Answer 1

不过，这似乎没有在文档中的任何地方提及，
如果您使用 client_secret 创建了客户端应用程序，您应该将 client_secret 添加到参数中以使其工作。

curl -X POST \
'https://<Cognito User Pool Domain>/oauth2/token?
grant_type=authorization_code&
code=8a24d2df-07b9-41e1-bb5c-c269e87838df&
redirect_uri=http://localhost&
client_secret=xcxxxs2r234XXXXXX&
client_id=55pb79dl8gm0i1ho9hdrXXXXXX' \
-H 'Accept-Encoding: gzip, deflate' \
-H 'Content-Type: application/x-www-form-urlencoded'

或者您需要使用“generate client_secret”= false 创建应用程序。
此外，默认情况下，用户池会为您的应用生成客户端 key 。