Java创建Cognito用户后需改密？如何规避强制改密要求

是否必须修改密码？ #

是的，处于FORCE_CHANGE_PASSWORD状态的用户无法完成正常身份验证流程（Cognito默认拦截这类用户的登录请求，要求先修改密码），必须将密码更新为永久密码后，用户状态才会切换为CONFIRMED，才能正常使用账号。

如何在创建时避免强制改密要求？ #

可以通过调整创建流程，跳过临时密码环节直接设置永久密码，从根源上避免进入强制改密状态，具体方案如下：

方案：创建用户时不指定临时密码，直接设置永久密码 #

使用AdminCreateUserRequest创建用户时不要设置temporaryPassword参数，创建完成后立即调用AdminSetUserPasswordRequest设置永久密码并标记为permanent=true，用户会直接进入CONFIRMED状态，无需强制改密。

优化后的代码示例：

// 第一步：创建用户，不指定临时密码
AdminCreateUserRequest userRequest = AdminCreateUserRequest.builder()
        .userPoolId(userPoolId)
        .username(name)
        .userAttributes(userAttrs)
        .messageAction("SUPPRESS") // 抑制默认通知邮件
        .build();
cognitoIdentityProvider.adminCreateUser(userRequest);

// 第二步：直接设置永久密码
AdminSetUserPasswordRequest setUserPasswordRequest = AdminSetUserPasswordRequest.builder()
        .userPoolId(userPoolId)
        .username(name)
        .password(permanentPassword) // 传入要设置的永久密码
        .permanent(true)
        .build();
cognitoIdentityProvider.adminSetUserPassword(setUserPasswordRequest);

原理说明 #

AWS Cognito中，通过AdminCreateUser指定temporaryPassword时，系统默认会将用户标记为需要强制改密——这是临时密码的设计初衷：让用户首次登录时自行修改为个人密码。如果后台直接分配永久密码，就不需要依赖临时密码机制，自然可以跳过强制改密状态。

关于你当前处理方式的说明 #

你当前先创建带临时密码的用户、再调用AdminSetUserPassword修改密码的方式确实能解决问题，但属于“先进入强制状态再修正”的间接方案。上面的优化方案则是从创建流程根源上避免进入FORCE_CHANGE_PASSWORD状态，更符合直接解决问题的需求。

内容的提问来源于stack exchange，提问作者pour