I使用Cognito构建了一个Web应用程序，用电子邮件 +密码对用户进行身份验证。 API网关验证生成的令牌，用户可以访问Web应用程序接口。 现在，我想为

Question

在所有方面，这两种方法都会生成OAuth2 JWT，这对我来说似乎很安全。在这两种情况下，您都必须保留一个秘密（作为密码或client_secret），因此泄漏的风险是相同的。而且，如果我可以将机器视为人类用户，它允许进行更多细粒度的管理（例如，如果我向同一公司出售多个M2M访问权限），因为每个访问都可以更轻松地跟踪中心。但是，也许我误解了Cognito和Oauth2的工作方式。老实说，这不是我的专业领域。

AMAZONCOGNITO

- 您现在可以自定义机器对机器（M2M）流量的访问令牌，使您能够在应用程序，API和工作负载中实现细粒度的授权。 M2M授权通常用于自动化过程，例如计划数据同步任务，事件驱动的工作流，微服务通信或系统之间的实时数据流。

在您的用例中，您正在构建涉及人类的Web应用程序。因此它不适合使用M2M流。 您可以使用

Answer 1

无需使用客户端秘密即可实施M2M授权。

也要注意： 使用浏览器来完成用户授权 创建本地服务器作为重定向URL，以通过pkce请求访问令牌

我已经为我的集成测试做了它，所以也许是一个好主意