本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

代币发行者端点

/oauth2/token发布JSON网络令牌的 OAuth 2.0 令牌端点 (JWTs)。这些令牌是使用用户池进行身份验证的最终结果。它们包含有关用户（ID 令牌）、用户的访问级别（访问令牌）以及用户保留登录会话的权利（刷新令牌）的信息。OpenID Connect (OIDC) relying-party 库处理来自此端点的请求和来自该端点的响应有效负载。令牌提供可验证的身份验证证明、配置文件信息以及访问后端系统的机制。

您的用户池 OAuth 2.0 授权服务器从令牌端点向以下类型的会话发放 JSON Web 令牌 (JWTs)：

当您向用户池添加域时，令牌端点将公开可用。它接受HTTPPOST请求。为了确保应用程序安全，请PKCE与您的授权码登录事件一起使用。PKCE验证传递授权码的用户是否与经过身份验证的用户相同。有关的更多信息PKCE，请参阅 IETFRFC7636。

要详细了解用户池应用程序客户端及其授权类型、客户端密钥、授权范围和客户端，请IDs访问使用应用程序客户端进行特定于应用程序的设置。要详细了解 M2M 授权、客户凭证授予以及使用访问令牌范围的授权，请访问。作用域、M2M 以及APIs带资源服务器的场景

要从用户的访问令牌中检索有关用户的信息，请将其传递给您的userInfo 端点或 GetUserAPI请求。

POST /oauth2/token

/oauth2/token 端点只支持 HTTPS POST。您的应用程序直接对此端点发出请求，而不通过用户浏览器。

令牌端点支持 client_secret_basic 和 client_secret_post 身份验证。有关 OpenID Connect 规范的更多信息，请参阅客户端身份验证。有关 OpenID Connect 规范中令牌端点的更多信息，请参阅令牌端点。

标头中的请求参数

正文中的请求参数

得到正面回复的请求示例

为获取令牌交换授权代码

示例-POST 请求

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token&
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
redirect_uri=com.myclientapp://myclient/redirect

示例-响应

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

用客户端凭证交换访问令牌：授权标头中的客户端密钥

示例-POST 请求

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=client_credentials&
client_id=1example23456789&
scope=resourceServerIdentifier1/scope1 resourceServerIdentifier2/scope2
                    

示例-响应

HTTP/1.1 200 OK
Content-Type: application/json
{
    "access_token": "eyJra1example",
    "token_type": "Bearer",
    "expires_in": 3600
}
                    

用客户端凭证交换访问令牌：请求正文中的客户端密钥

示例-POST 请求

POST /oauth2/token HTTP/1.1
Content-Type: application/x-www-form-urlencoded
X-Amz-Target: AWSCognitoIdentityProviderService.Client credentials request
User-Agent: USER_AGENT
Accept: /
Accept-Encoding: gzip, deflate, br
Content-Length: 177
Referer: http://auth.example.com/oauth2/token
Host: auth.example.com
Connection: keep-alive

grant_type=client_credentials&client_id=1example23456789&scope=my_resource_server_identifier%2Fmy_custom_scope&client_secret=9example87654321

示例-响应

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Date: Tue, 05 Dec 2023 16:11:11 GMT
x-amz-cognito-request-id: 829f4fe2-a1ee-476e-b834-5cd85c03373b

{
    "access_token": "eyJra12345EXAMPLE",
    "expires_in": 3600,
    "token_type": "Bearer"
}

使用授权码授权交换PKCE令牌

示例-POST 请求

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
code_verifier=CODE_VERIFIER&
redirect_uri=com.myclientapp://myclient/redirect

示例-响应

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

为获取令牌交换刷新令牌

示例-POST 请求

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=refresh_token&
client_id=1example23456789&
refresh_token=eyJj3example

示例-响应

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "token_type": "Bearer",
    "expires_in": 3600
}

负向响应的示例

示例-错误响应

HTTP/1.1 400 Bad Request
Content-Type: application/json;charset=UTF-8

{
"error":"invalid_request|invalid_client|invalid_grant|unauthorized_client|unsupported_grant_type"
}