AWS Cognito ListUsersAsync无法通过手机号查找SSO用户问题求助

核心原因分析 #

这类问题大概率和SSO用户属性的索引状态、属性映射配置直接相关，以下是具体排查方向：

1. SSO用户的手机号未被索引 #

Cognito对本地创建的非SSO用户，默认会自动为phone_number字段开启索引；但通过Google等社交身份提供商创建的SSO用户，同步过来的属性默认不会自动加入检索索引。

• 当你在控制台编辑并修改手机号时，Cognito会触发索引更新流程，临时将该字段加入索引，所以能检索到；
• 改回原手机号时，由于原属性未被标记为可索引，索引会被移除，导致再次无法检索。

2. 检查用户池属性的可搜索配置 #

• 进入Cognito用户池的属性页面，找到phone_number字段，确认可搜索选项是否勾选。如果未开启，立即勾选并保存。
• 注意：修改索引配置后，已有SSO用户的属性不会自动重新索引，需要逐个编辑用户的手机号属性（哪怕只是保存一次）来触发索引更新。

3. 验证身份提供商的属性映射 #

检查Google身份提供商的属性映射规则：

• 确认Google的手机号字段是否正确映射到Cognito的标准phone_number属性；
• 映射时需确保勾选可搜索选项，否则同步过来的属性无法被ListUsersAsync检索到。

4. 过滤条件的格式匹配问题 #

确认ListUsersAsync调用的过滤条件格式是否和Cognito存储的手机号完全一致：

• Cognito存储的手机号通常带国家代码（如+1234567890），如果你的过滤条件不带国家代码，会导致匹配失败；
• SSO用户的手机号可能来自Google的原始格式，和非SSO用户的输入格式存在差异，需统一过滤条件的格式。

5. 检查属性存储位置 #

部分场景下，SSO用户的手机号可能被映射到自定义属性（如custom:phone_number）而非标准phone_number字段。此时需要调整ListUsersAsync的过滤条件，指向对应的自定义属性字段。

内容的提问来源于stack exchange，提问作者BrentonL