# Amazon Cognito 新增 OAuth 2.0 令牌交换

> Cognito 现在可将用户令牌换成权限范围更窄、面向单一受众的令牌，让服务代表用户操作时无需转发原始令牌。

Oossa · 2026-11-13 · https://oossa.com/zh/amazon-cognito-adds-oauth-2-0-token-exchange

Amazon Cognito 现已支持 RFC 8693 定义的 OAuth 2.0 令牌交换。借助这项新功能，服务或 AI 代理可以将用户令牌换成一个全新的令牌，其权限范围更窄，且不含刷新令牌。换出的令牌包含一个用于标识中间代理的 act 声明，让下游服务能够确认请求是经由代理发出的。令牌交换可通过标准令牌端点或新增的 GetDerivedToken API 完成；在 Cognito 提供服务的所有 AWS 区域中，Essentials 和 Plus 套餐均可使用。

## 事实

- 该功能于 2026-11-12（“Thu Nov 12 2026”）公布。
- Cognito Essentials 和 Plus 套餐在所有 AWS 区域均可使用。

## 为什么重要

开发者可以向后端服务提供用途受限的令牌，降低代理代表用户操作时因权限过大而带来的风险。

## 来源与参考

1. [Amazon Cognito now supports OAuth 2.0 token exchange](https://aws.amazon.com/about-aws/whats-new/2026/11/cognito-token-exchange/) – AWS, 2026-11-12

最后更新: 2026-11-13