Amazon Cognito无密码邮件认证：signIn触发CreateAuthChallenge Lambda重复执行导致多验证码邮件问题求助

针对你遇到的「长时间未操作后调用signIn触发3次CreateAuthChallenge Lambda、重复发送验证码且耗时长达7秒」的问题，我整理了几个针对性的排查和解决方案：

1. 先从CloudWatch日志入手，明确Lambda重复触发的真实原因 #

首先去CloudWatch Logs查看这3次CreateAuthChallenge函数的执行记录，重点关注两个点：

• 启动类型：是ProvisionedConcurrency（预置并发的热启动）还是ColdStart（冷启动）？如果依旧是冷启动，说明你的预置并发配置可能没生效——要确认Cognito触发的是绑定了预置并发的函数版本/别名，而非默认的$LATEST版本（预置并发不支持$LATEST）。
• 耗时与错误信息：如果函数执行时间接近Lambda默认的3秒超时阈值，Cognito会判定挑战流程失败并自动重试，这就会导致多次触发。

2. 调整超时配置，避免Cognito重试 #

• Lambda超时设置：把CreateAuthChallenge等相关函数的超时时间从默认3秒调整到10秒左右，给函数足够的执行缓冲，避免因为超时被Cognito重复调用。
• Cognito挑战过期时间：进入Cognito用户池的认证流程配置，检查「Challenge expiration」（挑战过期时间）。如果设置过短，会导致长时间未操作后会话过期，结合Lambda超时就容易触发多次重试。建议调整到10-15分钟，匹配你观察到的「10分钟未操作」触发条件。

3. 给CreateAuthChallenge添加幂等性控制（最直接有效的方案） #

即使Cognito因为超时或其他原因重试挑战流程，我们可以在Lambda函数里加入幂等逻辑，确保同一个会话只发送一次验证码：

• 利用Cognito传递的event.request.session中的challengeId，或是userName+会话唯一标识，在DynamoDB里维护一个短期缓存记录（比如有效期15分钟）。
• 每次执行CreateAuthChallenge时，先查询缓存：如果该用户当前会话已经生成过验证码，直接复用该验证码返回，不再调用SES发送新邮件；如果没有记录，再生成验证码并存入缓存后发送邮件。

示例代码片段（简化版）：

// 在handler外初始化DynamoDB客户端，复用连接
const AWS = require('aws-sdk');
const ddb = new AWS.DynamoDB.DocumentClient();

exports.handler = async (event) => {
  // 用会话标识生成缓存Key
  const sessionId = event.request.session[0]?.challengeMetadata || `${event.userName}-${Date.now()}`;
  const cacheKey = `cognito-challenge-${sessionId}`;
  
  // 检查缓存是否已有验证码
  const cacheResult = await ddb.get({
    TableName: 'CognitoChallengeCache',
    Key: { id: cacheKey }
  }).promise();
  
  if (cacheResult.Item) {
    // 复用已有验证码，不再发邮件
    event.response.publicChallengeParameters = { email: event.request.userAttributes.email };
    event.response.privateChallengeParameters = { answer: cacheResult.Item.code };
    return event;
  }
  
  // 生成新验证码并发送邮件
  const code = Math.floor(100000 + Math.random() * 900000).toString();
  // 调用SES发送邮件的逻辑...
  
  // 将验证码存入缓存，设置15分钟过期
  await ddb.put({
    TableName: 'CognitoChallengeCache',
    Item: {
      id: cacheKey,
      code: code,
      expiresAt: Date.now() + 15 * 60 * 1000
    }
  }).promise();
  
  event.response.publicChallengeParameters = { email: event.request.userAttributes.email };
  event.response.privateChallengeParameters = { answer: code };
  return event;
};

4. 优化Lambda函数执行效率 #

• 把AWS SDK客户端（如SES、DynamoDB）的初始化放在handler函数外部，热启动时可以复用客户端连接，减少初始化耗时。
• 检查发送邮件的逻辑，尽量简化同步操作，比如确保邮件发送的接口调用是高效的，避免不必要的等待。

5. 排查Amplify客户端的重试逻辑 #

确认你的前端Amplify代码中，signIn调用是否有手动添加的重试逻辑？比如客户端因为网络延迟或超时自动重试了signIn请求，这也会导致Cognito多次触发挑战流程。可以在客户端日志里排查是否有重复发起的请求。

内容的提问来源于stack exchange，提问作者RHauck