Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Verificación de tokens web JSON

Los tokens web JSON (JWT) se pueden descodificar, leer y modificar fácilmente. Un token de acceso modificado crea el riesgo de que se produzca un escalado de privilegios. Un token de ID modificado crea un riesgo de suplantación de identidad. La aplicación confía en el grupo de usuarios como emisor del token, pero ¿qué sucede si un usuario intercepta el token en tránsito? Debe asegurarse de que la aplicación reciba el token que Amazon Cognito ha emitido.

Amazon Cognito emite tokens que utilizan algunas de las características de integridad y confidencialidad de la especificación OpenID Connect (OIDC). Los tokens del grupo de usuarios indican la validez con objetos como la fecha de caducidad, el emisor y la firma digital. La firma, que es el tercer y último segmento del JWT delimitado por ., es el componente clave de la validación del token. Un usuario malintencionado puede modificar un token, pero si la aplicación recupera la clave pública y la compara con la firma, no coincidirán. Cualquier aplicación que procese JWT de una autenticación de OIDC debe realizar esta operación de verificación cada vez que inicie sesión.

En esta página, hacemos algunas recomendaciones generales y específicas para la verificación de los JWT. El desarrollo de aplicaciones abarca diversos lenguajes de programación y plataformas. Dado que Amazon Cognito implementa OIDC lo suficientemente cerca de la especificación pública, cualquier biblioteca de JWT acreditada del entorno de desarrollador que elija puede gestionar los requisitos de verificación.

En estos pasos, se describe cómo verificar un JSON Web Token (JWT) de grupo de usuarios.

Requisitos previos

Es posible que la biblioteca, el SDK o el marco de software ya gestionen las tareas de esta sección. AWSLos SDK proporcionan herramientas para gestionar y gestionar los tokens del grupo de usuarios de Amazon Cognito en su aplicación. AWS Amplifyincluye funciones para recuperar y actualizar los tokens de Amazon Cognito.

Para obtener más información, consulte las páginas siguientes.

Hay muchas bibliotecas disponibles para decodificar y verificar un JSON Web Token (JWT). Estas bibliotecas pueden resultarle de ayuda si desea procesar de forma manual los tokens para el procesamiento de la API del lado del servidor o si utiliza otros lenguajes de programación. Consulte la lista de bibliotecas de OpenID Foundation para trabajar con tokens JWT.

Validación de los tokens con aws-jwt-verify

En una Node.js aplicación, AWS recomienda que la aws-jwt-verifybiblioteca valide los parámetros del token que el usuario pasa a la aplicación. Con aws-jwt-verify, puede rellenar CognitoJwtVerifier con los valores de las reclamaciones que desea verificar para uno o varios grupos de usuarios. Estos son algunos de los valores que puede comprobar:

Para obtener más información y un código de ejemplo que puedes usar en una Node.js aplicación o en un AWS Lambda autorizador, consulta esta aws-jwt-verifypágina GitHub.

Descripción e inspección de tokens

Antes de integrar la inspección de tokens en su aplicación, analice la forma en que Amazon Cognito ensambla los JWT. Obtenga tokens de ejemplo de su grupo de usuarios. Decodifíquelos y examínelos bien para conocer sus características y determinar qué desea verificar y cuándo. Por ejemplo, es posible que desee examinar la pertenencia a un grupo en un escenario y los ámbitos en otro.

En las siguientes secciones, se describe un proceso para inspeccionar manualmente los JWT de Amazon Cognito mientras prepara la aplicación.

Confirmar la estructura del JWT

Un token web JSON (JWT) incluye tres secciones con un delimitador . (punto) entre ellas.

El encabezado y la carga útil son JSON y están codificados en base64url. Puede identificarlos por los caracteres de apertura eyJ que se descodifican para formar el carácter inicial {. Si su usuario presenta un JWT codificado en base64url a su aplicación y no está en el formato [JSON Header].[JSON Payload].[Signature], no es un token de Amazon Cognito válido, por lo que puede descartarlo.

El siguiente ejemplo de aplicación verifica los tokens del grupo de usuarios con aws-jwt-verify.

// cognito-verify.js
// Usage example: node cognito-verify.js eyJra789ghiEXAMPLE

const { CognitoJwtVerifier } = require('aws-jwt-verify');

// Replace with your Amazon Cognito user pool ID
const userPoolId = 'us-west-2_EXAMPLE';

async function verifyJWT(token) {
  try {
    const verifier = CognitoJwtVerifier.create({
      userPoolId,
      tokenUse: 'access', // or 'id' for ID tokens
      clientId: '1example23456789', // you must verify the token audience
    });

    const payload = await verifier.verify(token);
    console.log('Decoded JWT:', payload);
  } catch (err) {
    console.error('Error verifying JWT:', err);
  }
}

// Example usage
if (process.argv.length < 3) {
  console.error('Please provide a JWT token as an argument.');
  process.exit(1);
}

const MyToken = process.argv[2];
verifyJWT(MyToken);

Validación del JWT

La firma JWT es una combinación con hash del encabezado y la carga útil. Amazon Cognito genera dos pares de claves criptográficas RSA para cada grupo de usuarios. Una clave privada firma los tokens de acceso y la otra firma los tokens de ID.

Comprobar las notificaciones

Ahora puede confiar en las notificaciones del token.