Cognito - est-ce que le cognito stocke automatiquement les jetons localement?

Question

Je suis nouveau à cognito. J'utilise des pools d'utilisateurs et j'appelle userPool.getCurrentUser() pour obtenir l'utilisateur actuel, puis getSession() pour obtenir idToken, accessToken et refreshToken - comme je le comprends, ils sont stockés automatiquement dans le stockage local par cognito (comme confirmé par pouvoir accéder à ces jetons même s'il n'y a pas de connexion internet).

je voudrais avoir des éclaircissements avec les 3 questions suivantes:

question 1) Je présume que ces jetons ont été stockés par Cognito lorsque l'utilisateur a été authentifié dernier (ils expirent comme par leur valeur par défaut)?

question 2) la documentation stipule: "Nous vous recommandons fortement de sécuriser les trois jetons en transit et en stockage dans le contexte de votre application." - Pourquoi devrions-nous les stocker quand cognito les stocke déjà localement? Question 3) Si le cognito stocke les jetons localement, devons-nous faire quelque chose pour nous assurer qu'ils sont stockés en toute sécurité?

Answer 1

1) Oui, ils ont été stockés par Cognito lorsque le dernier utilisateur s'est authentifié et, oui, ils expireront en fonction des valeurs par défaut ou de la configuration du jeton d'actualisation.

2) C'est juste que si quelqu'un obtient votre jeton d'accès valide, il a accès à votre compte. Donc, je suppose que c'est juste une recommandation de sécurité sur la façon de gérer les jetons.

3) Vous avez maintenant la possibilité de transmettre votre propre stockage aux objets Cognito en fonction des besoins de votre application, de sorte que vous n'avez pas du tout besoin d'utiliser le stockage local.