AWS Cognito用户设备保存失败求助：遇无效设备密钥错误

一、Hosted UI用户设备不显示问题处理 #

• 检查用户池客户端配置
  1. 进入用户池客户端设置，确认允许设备追踪已启用；
  2. 若客户端开启了生成客户端密钥，建议关闭（Hosted UI基于浏览器，无法安全存储密钥，会导致设备追踪异常）。
• 确认用户池设备配置
  1. 再次验证用户池「登录体验」->「设备追踪」：确保设置为「始终记住用户设备」，且「信任已记住的设备以跳过MFA」已勾选；
  2. 首次登录需完成MFA验证后设备才会被保存，可退出后重新登录，查看是否自动跳过MFA（验证设备已被记住），同时检查用户设备列表。

二、.NET代码问题修复 #

问题1：USER_PASSWORD_AUTH流程调用ConfirmDevice报"Invalid device key given" #

错误原因及修复步骤：

1. 确保NewDeviceMetadata有效
   NewDeviceMetadata仅在用户首次使用该设备登录时返回，测试前需先在用户池控制台删除该用户的所有设备记录，保证是首次登录场景。
2. 修正设备验证参数生成逻辑
   代码中缺失SRP协议的固定参数g和N，且依赖未定义的CognitoAuthHelper，需补充并替换为自定义实现：

   // 添加SRP固定参数
   private static readonly BigInteger g = BigInteger.Parse("2");
   private static readonly BigInteger N = BigInteger.Parse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umberStyles.AllowHexSpecifier);
   
   // 修改GenerateDeviceVerifier方法，替换CognitoAuthHelper为自定义CombineBytes
   public static DeviceSecretVerifierConfigType GenerateDeviceVerifier(string deviceGroupKey, string devicePass, string username)
   {
       Random r = new Random();
       byte[] userIdContent = CombineBytes(
           Encoding.UTF8.GetBytes(deviceGroupKey),
           Encoding.UTF8.GetBytes(username),
           Encoding.UTF8.GetBytes(":"),
           Encoding.UTF8.GetBytes(devicePass)
       );
   
       byte[] userIdHash = SHA256.Create().ComputeHash(userIdContent);
   
       byte[] saltBytes = new byte[16];
       RandomNumberGenerator.Create().GetBytes(saltBytes);
       saltBytes[0] = (byte)r.Next(sbyte.MaxValue);
   
       byte[] xBytes = CombineBytes(saltBytes, userIdHash);
       byte[] xDigest = SHA256.Create().ComputeHash(xBytes);
       BigInteger x = FromUnsignedBigEndian(xDigest);
   
       var v = BigInteger.ModPow(g, x, N);
       byte[] vBytes = v.ToBigEndianByteArray();
   
       return new DeviceSecretVerifierConfigType
       {
           PasswordVerifier = Convert.ToBase64String(vBytes),
           Salt = Convert.ToBase64String(saltBytes)
       };
   }
   

3. 修正ConfirmDeviceRequest参数
   DeviceName需设置为自定义设备名称（如"My Console App"），而非DeviceGroupKey（Cognito内部设备分组标识，不能用作显示名称）：

   var confirmDeviceRequest = new ConfirmDeviceRequest
   {
       AccessToken = result.AccessToken,
       DeviceKey = result.NewDeviceMetadata.DeviceKey,
       DeviceName = "My Console App", // 替换为自定义名称
       DeviceSecretVerifierConfig = deviceSecretVerifierConfig
   };
   

问题2：USER_SRP_AUTH流程无法完成认证 #

建议使用AWS官方Amazon.Extensions.CognitoAuthentication库简化SRP认证实现，避免手动编写加密逻辑出错：

1. 安装NuGet包：Amazon.Extensions.CognitoAuthentication
2. 使用以下代码实现认证及设备确认：

   using Amazon;
   using Amazon.CognitoIdentityProvider;
   using Amazon.Extensions.CognitoAuthentication;
   
   internal class Program
   {
       private const string ClientId = "my_client_id";
       private const string UserPoolId = "my_user_pool_id"; // 补充你的用户池ID
       private static readonly RegionEndpoint Region = RegionEndpoint.USWest2; // 替换为你的区域
   
       static async Task Main(string[] args)
       {
           await LoginWithSRP();
       }
   
       static async Task LoginWithSRP()
       {
           string email = "myEmail";
           string password = "myPassword";
           string mfaCode = "myMfaCode";
   
           var provider = new AmazonCognitoIdentityProviderClient(new Amazon.Runtime.AnonymousAWSCredentials(), Region);
           var userPool = new CognitoUserPool(UserPoolId, ClientId, provider);
           var user = new CognitoUser(email, ClientId, userPool, provider);
   
           // 初始化SRP认证
           var authRequest = new InitiateSrpAuthRequest
           {
               Password = password
           };
   
           AuthFlowResponse authResponse = await user.StartWithSrpAuthAsync(authRequest);
   
           // 处理软件令牌MFA挑战
           if (authResponse.ChallengeName == ChallengeNameType.SOFTWARE_TOKEN_MFA)
           {
               authResponse = await user.RespondToSoftwareTokenMfaAuthAsync(new RespondToSoftwareTokenMfaRequest
               {
                   Session = authResponse.Session,
                   SoftwareTokenMfaCode = mfaCode
               });
           }
   
           // 自动确认设备（若为新设备）
           if (authResponse.AuthenticationResult.NewDeviceMetadata != null)
           {
               await user.ConfirmDeviceAsync(new ConfirmDeviceRequest
               {
                   DeviceName = "My Console App",
                   DeviceSecretVerifierConfig = authResponse.AuthenticationResult.NewDeviceMetadata.DeviceSecretVerifierConfig
               });
           }
       }
   }
   

三、通用注意事项 #

• 确保用户池客户端的认证流程已勾选USER_PASSWORD_AUTH和USER_SRP_AUTH；
• 测试前删除用户已有设备记录，保证为首次登录场景；
• 检查IAM权限：访问Cognito的IAM用户需具备cognito-idp:InitiateAuth、cognito-idp:RespondToAuthChallenge、cognito-idp:ConfirmDevice等权限。

内容的提问来源于stack exchange，提问作者smile