如何使用 AWS CLI 在 Amazon Cognito 中撤销 JWT 令牌？

上次更新日期：2021 年 8 月 18 日

我想撤销在 Amazon Cognito 用户池中颁发的 JSON Web 令牌 (JWT)。

简短描述

Amazon Cognito 刷新令牌在用户登录用户池后 30 天到期。您可以将应用程序客户端刷新令牌过期时间设置为 60 分钟到 10 年。有关更多信息，请参阅使用刷新令牌。

您还可以实时撤销刷新令牌，这样刷新令牌就不能生成额外的访问令牌。

刷新令牌之前颁发的所有访问令牌都无效。已颁发给用户的刷新令牌不受影响。

解决方法

按照说明根据您的应用客户端撤销 JWT 令牌。

注意：

如果您在运行 AWS Command Line Interface (AWS CLI) 命令时收到错误，请确保您运行的是最新版本的 AWS CLI。
Amazon Cognito 用户池应用程序客户端可以拥有应用程序的可选密钥。有关更多信息，请参阅配置用户池应用程序客户端。
将 us-east-1 替换为您所在的 AWS 区域，将用户池 ID、客户端 ID、用户名、电子邮件、令牌、密钥和密码替换为您的变量。

不含密钥的应用程序客户端

以管理员身份运行 AWS CLI 命令 admin-initiate-auth 来启动身份验证流程，以获取类似于以下内容的 ID、访问令牌和刷新令牌：

$ aws  --region us-east-1 cognito-idp admin-initiate-auth --user-pool-id us-east-1_123456789 --client-id your-client-id --auth-parameters USERNAME=user-name,PASSWORD=your-password --auth-flow ADMIN_NO_SRP_AUTH

您会收到类似如下内容的输出：

{
    "ChallengeParameters": {},
    "AuthenticationResult": {
        "AccessToken": "eyJra....",
        "ExpiresIn": 3600,
        "TokenType": "Bearer",
        "RefreshToken": "ey.._9Dg",
        "IdToken": "ey..DU-Q"
    }
}

运行 AWS CLI 命令 revoke-token 以撤销刷新令牌，类似如下内容：

$ aws --region us-east-1 cognito-idp revoke-token --client-id your-client-id --token eyJra....

注意：您没有收到输出。

使用相同的刷新令牌进行测试，以获取新的访问令牌和 ID：

$ aws --region us-east-1 cognito-idp admin-initiate-auth --user-pool-id us-east-1_123456789 --client-id your-client-id --auth-parameters REFRESH_TOKEN=eyJra....tw --auth-flow REFRESH_TOKEN_AUTH

您会收到类似如下内容的刷新令牌撤销输出：

Error: An error occurred (NotAuthorizedException) when calling the AdminInitiateAuth operation: Refresh Token has been revoked

包含密钥的应用程序客户端

按照说明使用 Python 脚本创建 SecrethHash 值。

以管理员身份运行 AWS CLI 命令 admin-initiate-auth 来启动身份验证流程，以获取类似于以下内容的 ID、访问令牌和刷新令牌：

$ aws --region us-east-1 cognito-idp admin-initiate-auth --user-pool-id us-east-1_123456789 --client-id your-client-id --auth-parameters USERNAME=user-name,PASSWORD=your-password,SECRET_HASH=IkVyH...= --auth-flow ADMIN_NO_SRP_AUTH

您会收到类似如下内容的输出：

{
    "ChallengeParameters": {},
    "AuthenticationResult": {
        "AccessToken": "eyJra....",
        "ExpiresIn": 3600,
        "TokenType": "Bearer",
        "RefreshToken": "eyJjd....",
        "IdToken": "ey..YQSA"
    }
}

运行 AWS CLI 命令 revoke-token 以撤销刷新令牌：

$ aws --region us-east-1 cognito-idp revoke-token --client-id your-client-id --token eyJjd... --client-secret 1n00....

使用相同的刷新令牌进行测试，以获取新的访问令牌和 ID：

$ aws --region us-east-1 cognito-idp admin-initiate-auth --user-pool-id us-east-1_123456789 --client-id your-client-id --auth-parameters REFRESH_TOKEN=eyJjdH.... --auth-flow REFRESH_TOKEN_AUTH

您会收到刷新令牌撤销的输出：

Error: An error occurred (NotAuthorizedException) when calling the AdminInitiateAuth operation: Refresh Token has been revoked

新增声明

访问和 ID 令牌中添加了两个新的声明 origin_jti 和 jti，这增加了应用程序客户端中令牌的大小。

jti 声明为 JWT 提供了唯一标识符。必须分配标识符值，以便不会将相同的值分配给不同的数据对象。如果应用程序客户端使用多个发布者，请使用不同的值来防止冲突。

注意：jti 声明是可选的。有关更多信息，请参阅 RFC-7519。