本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

權杖發行者端點

/oauth2/token 發行 JSON Web 權杖的 OAuth 2.0 權杖端點 （JWTs）。 https://www.rfc-editor.org/rfc/rfc6749#section-3.2這些權杖是使用使用者集區進行身分驗證的最終結果。其中包含使用者 （ID 權杖）、使用者存取層級 （存取權杖） 以及使用者保留登入工作階段 （重新整理權杖） 的權利等相關資訊。依賴第三方程式庫的 OpenID Connect （OIDC） 會處理來自此端點的請求和回應承載。權杖提供可驗證的身分驗證、設定檔資訊，以及存取後端系統的機制。

您的使用者集區 OAuth 2.0 授權伺服器會將 JSON Web 權杖 （JWTs） 從權杖端點發行至下列類型的工作階段：

當您將網域新增至使用者集區時，權杖端點會變為可公開使用。它接受HTTPPOST請求。為了應用程式安全，請使用 PKCE搭配授權碼登入事件。PKCE 驗證傳遞授權碼的使用者是否與驗證的使用者相同。如需 的詳細資訊PKCE，請參閱 IETF RFC 7636。

您可以在 IDs 進一步了解使用者集區應用程式用戶端及其授予類型、用戶端秘密、授權範圍和用戶端使用應用程式用戶端的應用程式特定設定。您可以在 進一步了解 M2M 授權、用戶端憑證授予，以及具有存取權杖範圍的授權Scopes、M2M 和 APIs搭配資源伺服器。

若要從使用者的存取權杖擷取有關使用者的資訊，請將其傳遞至您的 userInfo 端點或 。 GetUser API 請求。

POST /oauth2/token

/oauth2/token 端點僅支援 HTTPS POST。您的應用程式會直接對此端點提出請求，而不經由使用者的瀏覽器。

權杖端點支援 client_secret_basic 和 client_secret_post 身分驗證。如需 OpenID Connect 規格的詳細資訊，請參閱用戶端身分驗證 。如需 OpenID Connect 規格中權杖端點的詳細資訊，請參閱權杖端點。

標頭中的請求參數

內文中的請求參數

具有正面回應的請求範例

將授權碼交換成權杖

範例 – POST請求

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token&
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
redirect_uri=com.myclientapp://myclient/redirect

範例 – 回應

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

將用戶端憑證交換為存取權杖：授權標頭中的用戶端機密

範例 – POST請求

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=client_credentials&
client_id=1example23456789&
scope=resourceServerIdentifier1/scope1 resourceServerIdentifier2/scope2
                    

範例 – 回應

HTTP/1.1 200 OK
Content-Type: application/json
{
    "access_token": "eyJra1example",
    "token_type": "Bearer",
    "expires_in": 3600
}
                    

將用戶端憑證交換為存取權杖：請求主體中的用戶端機密

範例 – POST請求

POST /oauth2/token HTTP/1.1
Content-Type: application/x-www-form-urlencoded
X-Amz-Target: AWSCognitoIdentityProviderService.Client credentials request
User-Agent: USER_AGENT
Accept: /
Accept-Encoding: gzip, deflate, br
Content-Length: 177
Referer: http://auth.example.com/oauth2/token
Host: auth.example.com
Connection: keep-alive

grant_type=client_credentials&client_id=1example23456789&scope=my_resource_server_identifier%2Fmy_custom_scope&client_secret=9example87654321

範例 – 回應

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Date: Tue, 05 Dec 2023 16:11:11 GMT
x-amz-cognito-request-id: 829f4fe2-a1ee-476e-b834-5cd85c03373b

{
    "access_token": "eyJra12345EXAMPLE",
    "expires_in": 3600,
    "token_type": "Bearer"
}

將授權碼授予與PKCE權杖交換

範例 – POST請求

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=authorization_code&
client_id=1example23456789&
code=AUTHORIZATION_CODE&
code_verifier=CODE_VERIFIER&
redirect_uri=com.myclientapp://myclient/redirect

範例 – 回應

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "refresh_token": "eyJj3example",
    "token_type": "Bearer",
    "expires_in": 3600
}

將重新整理權杖交換成權杖

範例 – POST請求

POST https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/token >
Content-Type='application/x-www-form-urlencoded'&
Authorization=Basic ZGpjOTh1M2ppZWRtaTI4M2V1OTI4OmFiY2RlZjAxMjM0NTY3ODkw

grant_type=refresh_token&
client_id=1example23456789&
refresh_token=eyJj3example

範例 – 回應

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJra1example",
    "id_token": "eyJra2example",
    "token_type": "Bearer",
    "expires_in": 3600
}

負向回應的範例

範例 – 錯誤回應

HTTP/1.1 400 Bad Request
Content-Type: application/json;charset=UTF-8

{
"error":"invalid_request|invalid_client|invalid_grant|unauthorized_client|unsupported_grant_type"
}