Flutter AWS Amplify无密码注册登录的技术疑问及方案咨询

1. 能否通过Flutter Amplify在AWS中创建无密码用户？ #

可以实现，AWS Cognito支持无密码认证方案，结合Flutter Amplify可通过以下两种方式落地：

方式一：自定义认证流程（推荐） #

Cognito的自定义认证流程允许你完全掌控认证步骤，无需依赖密码。具体操作：

• 在Cognito用户池配置三个Lambda触发器：Define Auth Challenge、Create Auth Challenge、Verify Auth Challenge Response，用于处理OTP的生成、发送和验证逻辑。
• 在Flutter Amplify中把认证流程类型配置为AuthFlowType.CUSTOM_AUTH。
• 注册流程：
  1. 用户输入唯一数字ID（作为Cognito的username）和手机号。
  2. 调用Amplify.Auth.signIn(username: 唯一数字ID)触发自定义认证流程。
  3. 在Create Auth Challenge Lambda中，根据用户绑定的手机号发送SMS OTP。
  4. 用户输入OTP后，调用Amplify.Auth.confirmSignIn(challengeResponse: OTP)完成注册并激活用户。
• 登录流程：
  1. 用户输入唯一数字ID和手机号（可在Lambda中验证手机号与用户ID的绑定关系）。
  2. 触发自定义认证流程，获取并验证OTP后完成登录。

方式二：使用adminCreateUser API创建无密码用户 #

通过Amplify的Auth类或AWS SDK调用adminCreateUser API：

• 创建用户时将username设为你的唯一数字ID，添加phone_number属性，同时设置MessageAction: 'SUPPRESS'避免发送初始密码通知。
• 后续通过SMS MFA或自定义认证流程完成登录，全程无需密码。

2. 为所有用户使用硬编码密码是否合规？ #

完全不合规，核心原因：

• 严重违反数据安全最佳实践：所有用户共用同一密码，一旦密码泄露，全部用户账号都会被直接攻破，毫无安全性可言。
• 不符合合规标准：违反GDPR、PCI DSS等主流数据安全规范中关于身份认证安全性的要求。
• AWS Cognito官方不推荐这种做法，且存在被检测到后影响服务可用性的风险。

相关文档参考 #

• AWS Cognito 自定义认证流程官方文档
• AWS Amplify Flutter Auth 自定义认证配置指南
• AWS Cognito adminCreateUser API 官方参考

内容的提问来源于stack exchange，提问作者pallabB