我试图通过cognito在aws s3上保护静态网站。我想到了以下架构：
静态网站PAGE1，javascript cognito sdk在公共存储桶中。此存储桶是公共可用的，并且具有已连接的登录站点 认知身份提供者与认知的用户池。在那里我向用户询问由cognito发送的登录和MFA令牌。这已经有效了。 我收到了一个带访问权限，ID和刷新令牌的JWT令牌。
现在出现了我不完全理解的部分。我阅读了很多文档，但无法获得解决方案。也许我的假设是错误的：
我将JWT发布到API网关中的python lambda。这个Lambda应该验证令牌（如何???），如果它有效，我将返回私有桶中的PAGE2。 但是boto3并没有提供类似“validate_token”的方法。我也不想假设一个角色左右，我只想让lambda验证令牌然后返回PAGE2。
任何人都可以指出我正确的方向。这是Cognito的正确用例吗？如何验证令牌是来自cognito的有效令牌而未过期？