セッション管理のためのExpress-Session上のAWS Cognitoの使用

Question

私はアプリケーションでAWS Cognitoを使用してユーザーを認証しています。 AWSはJWTトークンを提供します。私の質問は、セッション管理のためにexpress-sessionを使用する必要があるか、AWS Cognitoが提供するJWTトークンが認証されたユーザーのセッション管理を担当するかどうかです。

Answer 1

Cognito JWTトークンを使用する場合、明示的なセッションハンドラは必要ありません。

JWTトークンをクライアント側に送信し、状態の永続性を提供するWebブラウザ（ローカルストレージ、セッションストレージまたはCookie）に格納することができます（セッションはActsをセッションとして有効にし、トークン期間）。

その後のすべてのリクエストについては、承認ヘッダのJWTをエクスプレスサーバに送り返す必要があります。

これは、統合された状態管理を実装できるモバイルアプリケーションなどのWebブラウザ以外のクライアントがAPIを使用する場合のセッションよりも利点があります。

高度なセキュリティが必要なアプリケーションの場合、LocalStorageにIDトークンを格納するリスクを最小限に抑えるには、更新トークンを使用してトークン期間を小さくし、新しいトークンを生成します。

注：Cognito Hosted UIを使用する場合は、Cognito Autorization code grant flowを使用してリフレッシュトークンを取得する必要があります。