用途：在 AWS 原生架构中实现登录与用户管理，支持通过 Cognito 进行社交或企业联合身份认证，覆盖安全认证、令牌签发与联合身份流程。
主要能力与工作流：定义用户池、应用客户端以及托管 UI 或自定义认证集成；按授权需求配置声明（claims）、用户组与自定义属性；实现前端登录、令牌刷新与登出行为；在后端与网关层校验 JWT；集成 MFA、密码策略与账户恢复控制。
必要检查：每个受保护服务边界都必须强制执行令牌校验；用户组与声明映射不得过度授予权限；MFA 与恢复设置需与安全基线一致。
决策框架：以服务端授权作为访问决策的唯一事实来源；默认采用最小权限作用域与角色映射；使用令牌时须明确定义校验、轮换与吊销行为；涉及外部身份提供方时，需定义故障与回退行为。
常见误区与反驳：认为“客户端检查足够”——客户端逻辑可被绕过，必须在后端边界强制校验；认为“宽泛作用域更易管理”——会扩大影响范围与合规风险；认为“审计日志可后补”——缺失审计证据会阻碍事件响应与合规处理。
证据包：未授权与畸形访问尝试的负向测试用例；带负责人审批的作用域到权限映射；令牌/会话生命周期流程与吊销行为证明；敏感操作的审计与安全监控证据。
退出标准：Cognito 认证流程达到生产可用且安全；身份生命周期事件可观测、可审计。
限制：资料未提供具体代码示例、安装命令、定价或平台细节，暂未提供。