amazon-web-services - Amazon Cognito为什么不在其访问 token 中返回受众字段？

Question

当Amazon Cognito发出访问 token 时，它不包括aud字段。

在documentation for Cognito tokens中，为id token 列出了aud字段(始终将其设置为与client_id相同的值)，但没有为访问 token 列出。

relevant section of the JWT specification说:

If the principal processing the claim does not identify itself with a value in the "aud" claim when this claim is present, then the JWT MUST be rejected.

所以，这是怎么回事。谁是对的？这是安全问题吗？

我注意到 token 的 iss部分特定于我的用户池，由于它是由Amazon签名的，因此不能被篡改，所以我认为我应该是安全的

OAuth 2和JWT非常令人困惑，因此我想获得更多意见。

Answer 1

从对RFC的阅读中，我认为AWS并没有做错任何事情，特别是(请注意我的重点):

If the principal processing the claim does not identify itself with a value in the "aud" claim when this claim is present, then the JWT MUST be rejected.

Use of this claim is OPTIONAL.

我认为，这意味着AWS很好，因为在访问 token 的情况下，它只是省略了声明，而是通过以自身的方式将其设置为 client_id来标识自己(以自己的方式)， ID token 。
应该注意的是，访问 token 本身确实可以编码并强制受众。因为当您将其用于AWS的API时，它将强制您仅收到为其发出的client_id/scope上的可用资源。