如何关联不同邮箱的现有Cognito用户与新联邦用户？

针对你遇到的Cognito中企业邮箱账号与Google联邦账号无法可靠关联的问题，以下是几个可行的解决方案：

方案一：自定义属性+OAuth State参数传递关联标识 #

1. 注册阶段添加自定义属性
   在执行cognito:sign_up时，为用户添加唯一关联标识属性，比如custom:verifiedEmail，值设为用户已验证域名的企业邮箱（或邮箱哈希值，提升安全性）。

2. 前端传递关联标识
   用户点击邮件登录链接后，前端存储该企业邮箱信息。当用户选择Google登录时，在OAuth 2.0授权请求的state参数中嵌入该邮箱信息（需对state进行签名，防止篡改）。

3. 预注册触发器中完成关联
   在Google登录的预注册触发器中，解析state参数取出企业邮箱，调用Cognito的list_users API，根据custom:verifiedEmail属性查询匹配的现有用户。若找到匹配用户，调用admin_link_provider_for_user API将联邦用户与现有账号关联。

方案二：自定义认证流程+Post Authentication触发器关联 #

1. 前端引导认证流程
   用户点击邮件链接后，前端保留企业邮箱信息。当用户选择Google登录时，先发起Cognito自定义认证请求，将企业邮箱作为挑战参数传递。

2. 自定义认证验证身份
   后端在自定义认证的验证环节，先完成Google身份校验（验证ID Token），再通过企业邮箱查询Cognito用户池中的现有用户。

3. Post Authentication触发器执行关联
   在Post Authentication触发器中，检查当前用户是否为联邦用户且存在待关联的企业邮箱用户，调用admin_link_provider_for_user API完成账号绑定。此方案无需依赖预注册触发器传递参数，逻辑更可靠。

方案三：优化姓名匹配逻辑+手动关联 fallback #

1. 增强姓名存储与匹配规则
   注册时强制用户填写规范全名，存储到custom:fullName属性。在预注册触发器中，先尝试精确匹配（大小写不敏感、去除空格），再尝试匹配姓氏或名字的部分字段，同时结合邮箱域名过滤（仅匹配同域名的企业用户）。

2. 添加手动关联入口
   若自动匹配失败，在用户首次登录后的个人中心页面添加"关联企业邮箱"入口，引导用户输入企业邮箱并完成验证码验证，后端通过admin_link_provider_for_user API手动完成账号关联，避免后续数据混乱。

内容的提问来源于stack exchange，提问作者transposeglobal