Cognitoの認証情報はsecretではない
こういうコードを書くと誰でも見れる状態になってしまう
code:src/features/auth/config.ts
import { browserEnv } from 'app/src/features/env/browser';
export const awsConfig = {
identityPoolId: browserEnv.NEXT_PUBLIC_COGNITO_IDENTITYPOOLID,
region: browserEnv.NEXT_PUBLIC_COGNITO_REGION,
userPoolId: browserEnv.NEXT_PUBLIC_COGNITO_USERPOOLID,
userPoolWebClientId: browserEnv.NEXT_PUBLIC_COGNITO_USERPOOLWEBCLIENTID,
};
NEXT_PUBLICを付けているということは、clientにも配信されることを意味する
そもそもそこで指定している情報はsecretなのかどうか
identity pool id
region
user pool id
user pool web client id
The identity pool is not secret. ref secretではないらしい
user pool idやapp client idはsecretではない
user idとclient idは漏れても大丈夫的なことを言っている
ユーザ削除できるくない？と思ったけどそんなことないかmrsekut.icon
ログインしないとそういった操作は行えない
「任意のユーザを消す」のような処理はできない
機械的にアカウントを作りまくるスクリプトとかは書けてしまう
「ユーザー一覧のリストを取得する」とかはそもそも無理か