本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

字符發行者端點

OAuth 2.0 權杖端點會向想要完成授權碼和用戶端憑證授予流程的應用程式/oauth2/token發出 JSON Web 權杖 (JWTs)。這些字符是使用使用者集區進行身分驗證的最終結果。它們包含有關使用者 (ID 字符）、使用者存取層級 （存取字符） 以及使用者保留登入工作階段 （重新整理字符） 的權利的資訊。依賴第三方程式庫的 OpenID Connect (OIDC) 會處理來自此端點的請求和回應承載。權杖提供可驗證的身分驗證、設定檔資訊，以及存取後端系統的機制。

您的使用者集區 OAuth 2.0 授權伺服器會從權杖端點發出 JSON Web 權杖 JWTs) 至下列工作階段類型：

當您將網域新增至使用者集區時，權杖端點會變為可公開使用。它會接受 HTTP POST 請求。為了應用程式安全，請將 PKCE 與您的授權碼登入事件搭配使用。PKCE 會驗證傳遞授權碼的使用者是經過驗證的相同使用者。如需 PKCE 的詳細資訊，請參閱 IETF RFC 7636。

您可以在 進一步了解使用者集區應用程式用戶端及其授予類型、用戶端秘密、允許的範圍和用戶端 IDs使用應用程式用戶端的應用程式特定設定。您可以在 進一步了解 M2M 授權、用戶端憑證授予，以及具有存取權杖範圍的授權範圍、M2M 和具有資源伺服器的 APIs 。

若要從使用者存取權杖擷取有關使用者的資訊，請將其傳遞給您的 userInfo 端點或 GetUser API 請求。存取權杖必須包含這些請求的適當範圍，

對字符端點格式化 POST 請求

/oauth2/token 端點僅支援 HTTPS POST。此端點不是使用者互動的。在您的應用程式中使用 OpenID Connect (OIDC) 程式庫處理字符請求。

權杖端點支援 client_secret_basic 和 client_secret_post 身分驗證。如需 OIDC 規格的詳細資訊，請參閱用戶端身分驗證。如需 OpenID Connect 規格中權杖端點的詳細資訊，請參閱權杖端點。

標頭中的請求參數

您可以在請求的 標頭中將下列參數傳遞至字符端點。

內文中的請求參數

以下是您可以在請求內文中請求到字符端點的x-www-form-urlencoded格式參數。

將授權碼交換成權杖

以下請求會在使用授權碼授予進行身分驗證後成功產生 ID、存取和重新整理權杖。請求會以 Authorization標頭中的client_secret_basic格式傳遞用戶端秘密。

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token&
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
redirect_uri=com.myclientapp://myclient/redirect

回應會向使用者發出新的 ID、存取和重新整理權杖，以及額外的中繼資料。

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

具有基本授權的用戶端憑證

來自 M2M 應用程式的下列請求會請求用戶端憑證授予。由於用戶端登入資料需要用戶端秘密，因此請求會使用衍生自應用程式用戶端 ID 和秘密的 Authorization 標頭進行授權。請求會產生具有兩個請求範圍的存取權杖。請求也包含提供 IP 地址資訊的用戶端中繼資料，以及向代表此授予的使用者發出的權杖。Amazon Cognito 會將用戶端中繼資料傳遞至權杖產生前 Lambda 觸發器。

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=client_credentials&
client_id=1example23456789&
scope=resourceServerIdentifier1%2Fscope1%20resourceServerIdentifier2%2Fscope2&
&aws_client_metadata=%7B%22onBehalfOfToken%22%3A%22eyJra789ghiEXAMPLE%22,%20%22ClientIpAddress%22%3A%22192.0.2.252%22%7D

Amazon Cognito 會將下列輸入事件傳遞給權杖產生前 Lambda 觸發。

{
    version: '3',
    triggerSource: 'TokenGeneration_ClientCredentials',
    region: 'us-east-1',
    userPoolId: 'us-east-1_EXAMPLE',
    userName: 'ClientCredentials',
    callerContext: {
        awsSdkVersion: 'aws-sdk-unknown-unknown',
        clientId: '1example23456789'
    },
    request: {
        userAttributes: {},
        groupConfiguration: null,
        scopes: [
           'resourceServerIdentifier1/scope1',
           'resourceServerIdentifier2/scope2'
        ],
        clientMetadata: {
            'onBehalfOfToken': 'eyJra789ghiEXAMPLE',
            'ClientIpAddress': '192.0.2.252'
        }
    },
    response: { claimsAndScopeOverrideDetails: null }
}

回應會傳回存取字符。用戶端憑證授予適用於machine-to-machine(M2M) 授權，且僅傳回存取權杖。

HTTP/1.1 200 OK
Content-Type: application/json
{
    "access_token": "eyJra1example",
    "token_type": "Bearer",
    "expires_in": 3600
}
                    

具有 POST 內文授權的用戶端憑證

下列 client-credentials 授予請求包含請求內文中的 client_secret 參數，且不包含 Authorization標頭。此請求使用client_secret_post授權語法。請求會產生具有請求範圍的存取權杖。請求也包含提供 IP 地址資訊的用戶端中繼資料，以及向代表此授予的使用者發出的權杖。Amazon Cognito 會將用戶端中繼資料傳遞至權杖產生前 Lambda 觸發器。

POST /oauth2/token HTTP/1.1
Content-Type: application/x-www-form-urlencoded
X-Amz-Target: AWSCognitoIdentityProviderService.Client credentials request
User-Agent: USER_AGENT
Accept: /
Accept-Encoding: gzip, deflate, br
Content-Length: 177
Referer: http://auth.example.com/oauth2/token
Host: auth.example.com
Connection: keep-alive

grant_type=client_credentials&
client_id=1example23456789&
scope=my_resource_server_identifier%2Fmy_custom_scope&
client_secret=9example87654321&
aws_client_metadata=%7B%22onBehalfOfToken%22%3A%22eyJra789ghiEXAMPLE%22,%20%22ClientIpAddress%22%3A%22192.0.2.252%22%7D

Amazon Cognito 會將下列輸入事件傳遞給權杖產生前 Lambda 觸發。

{
    version: '3',
    triggerSource: 'TokenGeneration_ClientCredentials',
    region: 'us-east-1',
    userPoolId: 'us-east-1_EXAMPLE',
    userName: 'ClientCredentials',
    callerContext: {
        awsSdkVersion: 'aws-sdk-unknown-unknown',
        clientId: '1example23456789'
    },
    request: {
        userAttributes: {},
        groupConfiguration: null,
        scopes: [
           'resourceServerIdentifier1/my_custom_scope'
        ],
        clientMetadata: {
            'onBehalfOfToken': 'eyJra789ghiEXAMPLE',
            'ClientIpAddress': '192.0.2.252'
        }
    },
    response: { claimsAndScopeOverrideDetails: null }
}

回應會傳回存取字符。用戶端憑證授予適用於machine-to-machine(M2M) 授權，且僅傳回存取權杖。

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Date: Tue, 05 Dec 2023 16:11:11 GMT
x-amz-cognito-request-id: 829f4fe2-a1ee-476e-b834-5cd85c03373b

{
    "access_token": "eyJra12345EXAMPLE",
    "expires_in": 3600,
    "token_type": "Bearer"
}

使用 PKCE 授予授權碼

下列範例請求會使用 PKCE 完成授權請求，其中包含授權碼授予請求中的 code_challenge_method和 code_challenge 參數。

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
code_verifier=CODE_VERIFIER&
redirect_uri=com.myclientapp://myclient/redirect

回應會從應用程式成功的 PKCE 驗證傳回 ID、存取和重新整理權杖。

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

無需重新整理權杖輪換的權杖重新整理

下列範例請求會將重新整理權杖提供給重新整理權杖輪換為非作用中的應用程式用戶端。由於應用程式用戶端具有用戶端秘密，因此請求會提供 Authorization標頭。

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=refresh_token&
client_id=1example23456789&
refresh_token=eyJj3example

回應會傳回新的 ID 和存取權杖。

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "token_type": "Bearer",
    "expires_in": 3600
}

使用重新整理權杖輪換進行權杖重新整理

下列範例請求提供重新整理權杖給啟用重新整理權杖輪換的應用程式用戶端。由於應用程式用戶端具有用戶端秘密，因此請求會提供 Authorization標頭。

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=refresh_token&
client_id=1example23456789&
refresh_token=eyJj3example

回應會傳回新的 ID、存取和重新整理權杖。

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj4example",
    "token_type": "Bearer",
    "expires_in": 3600
}

負向回應的範例

格式不正確的請求會從字符端點產生錯誤。以下是字符請求產生錯誤時回應內文的一般映射。

HTTP/1.1 400 Bad Request
Content-Type: application/json;charset=UTF-8

{
"error":"invalid_request|invalid_client|invalid_grant|unauthorized_client|unsupported_grant_type"
}