Amazon Cognito 现已支持 RFC 8693 定义的 OAuth 2.0 令牌交换。借助这项新功能，服务或 AI 代理可以将用户令牌换成一个全新的令牌，其权限范围更窄，且不含刷新令牌。换出的令牌包含一个用于标识中间代理的 act 声明，让下游服务能够确认请求是经由代理发出的。令牌交换可通过标准令牌端点或新增的 GetDerivedToken API 完成；在 Cognito 提供服务的所有 AWS 区域中，Essentials 和 Plus 套餐均可使用。
为什么重要
开发者可以向后端服务提供用途受限的令牌，降低代理代表用户操作时因权限过大而带来的风险。
