AWS Cognito：为什么访问令牌能够被解码，但刷新令牌会解码为不可读的字符串？

Question

我正在将 AWS Cognito 用于我的 Web 应用程序。

\n

我登录到我的网络应用程序并从浏览器开发模式获取访问/刷新令牌。

\n

访问令牌可以在https://jwt.io/上解码上解码：

\n

标题是

\n

{\n  "kid": "M+aYDxi5AeOrvlUkPyNA5GmA4V8ZdTPPnr5wO6M1neU=",\n  "alg": "RS256"\n}\n\n

\n

有效负载为：

\n

{\n  "origin_jti": "0cf3100a-bfdd-49e0-bae3-12345678",\n  "sub": "1585d704-2985-4447-b265-12345678",\n  "event_id": "ead55f68-59d0-4b7f-9bb8-123",\n  "token_use": "access",\n  "scope": "aws.cognito.signin.user.admin",\n  "auth_time": 1646640361,\n  "iss": "https://cognito-idp.ap-northeast-1.amazonaws.com/ap-northeast-1_123",\n  "exp": 1646640661,\n  "iat": 1646640361,\n  "jti": "ea239510-8fd4-497d-b2ac-05a0377d63ef",\n  "client_id": "123qwe",\n  "username": "staff"\n}\n\n

\n

但是，刷新令牌未正确解码：\n标头：

\n

{\n  "cty": "JWT",\n  "enc": "A256GCM",\n  "alg": "RSA-OAEP"\n}\n

\n

有效负载是：

\n

"v\xef\xbf\xbdzsV_%\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd$\xef\xbf\xbd\xef\xbf\xbd\\u0014\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd1\xef\xbf\xbd\xef\xbf\xbdZ\xef\xbf\xbdc\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbdhyE\xef\xbf\xbd\\u0000\xef\xbf\xbd\\u0001\xef\xbf\xbd9W\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbdG\xef\xbf\xbd5\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd\\n\\n\xd2\xb4\xef\xbf\xbd\\t!8Mc\\u0000~3}K\xef\xbf\xbd4\xef\xbf\xbd\xef\xbf\xbdX=\\"\xef\xbf\xbd%\\u0015\xef\xbf\xbd2\xef\xbf\xbd\\"S,\xef\xbf\xbd\xef\xbf\xbdM\xef\xbf\xbd\xef\xbf\xbd\\u0000=S\xef\xbf\xbd\\u0011r\xef\xbf\xbd*H9\xef\xbf\xbd}\\u0002\xef\xbf\xbd\xef\xbf\xbdt]\xef\xbf\xbdxU\'\xef\xbf\xbdLk\xef\xbf\xbd\xef\xbf\xbdN\xee\xad\xa2\\n\xef\xbf\xbdxB\xef\xbf\xbdYg\xef\xbf\xbd`\xef\xbf\xbdm\xef\xbf\xbd\\n\xef\xbf\xbd_\xef\xbf\xbdey\xef\xbf\xbd\xef\xbf\xbdj\xef\xbf\xbdo\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd_\xef\xbf\xbdlJ\xef\xbf\xbde^\xef\xbf\xbdh\\n=\xef\xbf\xbd\\u001a\xef\xbf\xbdV7\xef\xbf\xbd!\xef\xbf\xbd]\xef\xbf\xbd5A\\u0014\\u0012(3\xef\xbf\xbd\xef\xbf\xbdi(mu\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd\\u0018\xef\xbf\xbdc\xef\xbf\xbdY\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd\xd7\x81\xef\xbf\xbd\xef\xbf\xbd.VC\xef\xbf\xbd\xef\xbf\xbd3\xef\xbf\xbdyk6\xef\xbf\xbd\xef\xbf\xbd$b\xef\xbf\xbdX\xef\xbf\xbd5\xef\xbf\xbdC\xef\xbf\xbdQ\xef\xbf\xbd/\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd)\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd=\\u001b|a\xef\xbf\xbd\\u000b\\f\xef\xbf\xbd\\u0015/\\u0005\\u00057\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbd\xef\xbf\xbda\xdf\xa8`\xef\xbf\xbdB\xef\xbf\xbd.\xef\xbf\xbd\\u000f\xef\xbf\xbd(]\xef\xbf\xbd\\\\\xef\xbf\xbd\\u0007G\xef\xbf\xbd"\n

\n

看起来刷新令牌的算法是RSA-OAEPhttps://jwt.io/站点尚不支持此算法。

\n

是否有在线工具可以正确解码刷新令牌？

\n

Answer 1

刷新令牌有效负载已加密，因为它不适合您。其内容仅适用于授权服务器，授权服务器能够对其进行解密。仅当您的访问令牌过期时，您才使用刷新令牌来请求新的访问令牌。

您可以在AWS 文档中了解如何使用刷新令牌，并大致了解它们在OAuth 站点上的工作原理。