无法使用AWS Cognito中的profile/openid作用域获取用户属性

根据我自己使用Cognito访问令牌的经验,您无法向它们添加自定义声明。这有一些优点和缺点:

赞成的意见

• 网络和移动应用程序使用的令牌不会泄露敏感数据

欺骗

• 令牌本身不能使API正确地进行授权

不过,您可以通过向用户信息端点发送访问令牌来获得所需的详细信息。当首次收到访问令牌时,可以这样做,然后使用相同的访问令牌缓存未来请求的自定义声明:

• Getting user info claims
• Creating a custom claims principal

您可以按照上面的自述运行上述代码示例。API安全代码的要点是形成一个有用的声明主体,API可以将其用于业务授权。

我相信您正在使用aws amplify完成此任务。

当您使用联邦登录对用户进行身份验证时,您将通过以下方式获得用户属性:

const user = await Auth.currentAuthenticatedUser();
const {yourAttributeName} = user.signInUserSession.idToken.payload;

虽然您没有为此任务使用cognito user pool user,但您可以通过以下方式访问其用户属性:

const {yourAttributeName} = (await Auth.currentAuthenticatedUser()).attributes;

如果上述解决方案不起作用,请确保在userpool应用程序中正确设置了您的作用域,并且Identity Provider具有正确的属性映射设置,并且对您希望读取的属性具有读写权限。