如何在Cognito用户池用户验证新邮箱时触发代码？

针对你需要在用户验证新邮箱后同步数据库邮箱的需求，这里有两种比CloudTrail+EventBridge更简洁高效的方案：

方案一：借助Post Authentication触发器+自定义属性追踪 #

这种方案利用用户登录触发的Lambda，结合临时存储的旧邮箱属性来判断验证完成时机：

• 步骤1：存旧邮箱到自定义属性
  在UpdateUserAttributes的Lambda触发器中，当检测到用户更新email属性时，把旧邮箱值存入自定义属性（比如custom:prev_email）。示例逻辑：

  def lambda_handler(event, context):
      if 'email' in event['request']['userAttributes']:
          # 获取旧邮箱（从event的userAttributes原始值中提取）
          old_email = event['userAttributes'].get('email')
          # 将旧邮箱存入自定义属性
          event['response'] = {
              'userAttributes': {
                  'custom:prev_email': old_email
              }
          }
      return event
  

• 步骤2：登录时检查验证状态并同步
  配置Post Authentication Lambda触发器，每次用户登录时：

  1. 检查email_verified是否为true
  2. 对比当前email和custom:prev_email是否不同
  3. 若两个条件都满足，执行数据库邮箱同步操作
  4. 同步完成后，调用Cognito的UpdateUserAttributes API清除custom:prev_email属性

  该方案优势是无需额外搭建服务，依赖Cognito原生触发器，成本低；缺点是需要等待用户登录后才会触发同步，适合用户会主动登录的场景。

方案二：完全自定义邮箱验证流程 #

这种方案直接接管验证链路，实时触发同步逻辑：

• 步骤1：关闭Cognito默认验证邮件
  在用户池设置中，关闭默认的邮箱验证邮件发送功能。

• 步骤2：用Custom Message触发器发送自定义验证链接
  配置Custom Message Lambda触发器（触发源选择UpdateUserAttributes场景），生成指向自有API网关的验证链接，链接中包含用户ID、新邮箱、验证token等必要参数。

• 步骤3：API网关处理验证并触发同步
  用户点击验证链接后，API网关调用Lambda：

  1. 调用Cognito的VerifyUserAttribute API，完成邮箱验证
  2. 立即执行数据库邮箱同步操作
  3. 返回验证成功的页面给用户

  该方案优势是验证完成后立即触发同步，无需等待用户登录；缺点是需要自行搭建API网关和验证页面，适合对实时性要求高的场景。

关于CloudTrail+EventBridge方案的问题 #

正如你提到的，这种方式需要开启全量管理事件追踪，无法精准筛选“邮箱验证完成”的特定事件，会产生大量冗余事件，不仅增加Lambda调用次数，还会提高CloudTrail的存储成本，确实不是最优解。

内容的提问来源于stack exchange，提问作者string_loginUsername