AWS Cognito 针对不同用户池刷新令牌也会返回有效令牌答案

【问题标题】：AWS Cognito refreshing tokens against a different user pool also returns valid tokensAWS Cognito 针对不同用户池刷新令牌也会返回有效令牌
【发布时间】：2018-11-08 11:15:19
【问题描述】：

我正在尝试使用 AWS CLI 进行 cognito。

我有一个用户池发出的刷新令牌，比如说“A”，客户端 ID 为“clientA”。

我对同一地区的不同用户池“B”使用了这个。我将客户端 ID 指定为“clientA”而不是 B 自己的。此命令有效并成功返回了新的访问和 ID 令牌。

$  aws cognito-idp admin-initiate-auth --user-pool-id "B" 
--region eu-west-1 --client-id clientA --auth-flow 
REFRESH_TOKEN_AUTH --auth-parameters "REFRESH_TOKEN=<refresh-token-from-A>"

AWS Cognito 似乎并没有真正使用“user-pool-id”参数，而只考虑了客户端 ID。否则这是一个安全漏洞。

【问题讨论】：

标签： amazon-web-services security amazon-cognito

【解决方案1】：

文档对此并不十分清楚，但REFRESH_TOKEN 流程不使用client-id 或user-pool-id，因为它们是由刷新令牌本身提供的。（虽然没有它们身体将无法验证......）

如果您在 CLI 上执行一些进一步的命令，您会看到从该命令返回的令牌仅允许您充当最初发布的 client-id/user-pool-id。

【讨论】：