security - Cognito - Cognito 会自动在本地存储 token 吗？

Question

我是 Cognito 的新手。我正在使用用户池并调用 userPool.getCurrentUser() 来获取当前用户，然后调用 getSession() 来获取 idToken、accessToken 和 refreshToken——据我所知，这些通过 cognito 自动存储在本地存储中(由即使没有互联网连接也能够访问这些 token 。

我希望能对以下 3 个问题做出一些澄清:

问题 1) 我假设这些 token 是在用户上次通过身份验证时由 cognito 存储的(因此它们将按照默认值过期)？

问题 2)文档指出:“我们强烈建议您在应用程序上下文中保护所有三个传输和存储 token 。” - 当 cognito 已经在本地存储它们时，我们为什么要存储它们？

问题 3)如果 cognito 在本地存储 token ，我们是否必须采取任何措施来确保它们安全存储？

Answer 1

1) 是的，当最后一个用户通过身份验证时，它们由 Cognito 存储，是的，它们将根据默认值或刷新 token 的配置过期。

2) 只是如果有人获得了您的有效访问 token ，他们就可以访问您的帐户。所以我认为这只是关于如何处理 token 的安全建议。

3) 您现在可以选择根据应用程序的需要将您自己的存储传递给 Cognito 对象，因此您根本不需要使用本地存储。