aws cognito Refresh-Token validiert den Benutzernamen nicht

Question

Im Refresh_Token-Szenario (REFRESH_TOKEN_AUTH AuthFlow) scheint AWS Cognito API den Wert zu ignorieren, der für das Feld USERNAME übergeben wurde. Die Validierung scheint sich auf eine E-Mail-Regex-Analyse zu beschränken. d. h. API darf Zugriffstoken für jeden USERNAME wie z. B. foo@bar.com mit einem Aktualisierungs-Token von user@gmail.com abrufen.

Szenario: Login Cognito:

response = boto3_client.admin_initiate_auth(
      UserPoolId=POOL_ID, 
      AuthFlow='ADMIN_NO_SRP_AUTH', 
      AuthParameters={ 
       'USERNAME': username, 
       'PASSWORD': password, 
      }, 
      ClientId=CLIENT_ID, 
     ) 

Refresh Anruf
Verwenden der Login-Antwort-Token aktualisieren, versuchen, eine Aktualisierung für einen anderen Benutzer, API kehrte nicht zurück einen Fehler.

response = boto3_client.admin_initiate_auth(
      UserPoolId=POOL_ID, 
      AuthFlow='REFRESH_TOKEN_AUTH', 
      AuthParameters={ 
       'USERNAME': username, #===== different user 
       'REFRESH_TOKEN': refresh_token, 
      }, 
      ClientId=CLIENT_ID, 
     ) 

Wird dies in ADMIN_NO_SRP_AUTH Flow erwartet? oder ein Fehler in Cognito API?

Answer 1

Im Aktualisierungs-Token-Fluss ist der Benutzername kein erforderlicher Parameter, da das Aktualisierungs-Token direkt mit dem angegebenen Benutzer verknüpft werden kann, der das Token an erster Stelle ausgegeben hat. Sie können dieses Verhalten testen, indem Sie beispielsweise die AWS-CLI verwenden und nur das Aktualisierungstoken übergeben.