ユーザープール->アプリの統合->アプリクライアントの設定->許可されている OAuth フローをAuthorization code grantにする場合，アプリクライアントを生成するときにアプリクライアントシークレットを発行してはいけない．認証の際に，アプリクライアントIDだけで認証が行えなくなる．

(この文章においては，認証，の意味が雑)