如何通过AWS Cognito实现多登录方式下的用户身份一致性（SSO对账）？

核心思路是为用户分配全局唯一的用户ID，并将所有登录凭证（邮箱、Google账号、手机号等）与这个ID绑定，无论用户用哪种方式登录，最终都映射到同一个用户记录。

具体实现步骤 #

1. 设计用户与登录凭证的关联结构 #

在数据库中创建两张核心表：

• users表：存储用户基础信息（唯一用户ID、昵称、创建时间等）
• user_auth_providers表：存储用户与各登录渠道的关联关系，字段示例：

  CREATE TABLE user_auth_providers (
      id INT AUTO_INCREMENT PRIMARY KEY,
      user_id INT NOT NULL,
      provider_type VARCHAR(50) NOT NULL, -- 比如'email', 'google', 'otp_phone'
      provider_identifier VARCHAR(255) NOT NULL, -- 邮箱地址、Google的sub值、手机号
      created_at DATETIME DEFAULT CURRENT_TIMESTAMP,
      FOREIGN KEY (user_id) REFERENCES users(id),
      UNIQUE KEY unique_provider (provider_type, provider_identifier) -- 确保同一凭证只属于一个用户
  );
  

2. 统一登录处理逻辑 #

无论用户选择哪种登录方式，验证通过后执行以下流程：

• 提取当前登录方式的唯一标识：
  • 邮箱/密码：提取邮箱地址
  • Google登录：提取Google OAuth返回的sub字段（Google用户的唯一ID）
  • OTP登录：提取用户输入的手机号
• 查询user_auth_providers表，根据provider_type和provider_identifier查找对应的user_id：
  • 如果找到user_id：直接使用该ID生成登录会话（比如JWT token），返回给前端
  • 如果未找到：在users表中创建新用户记录，生成唯一user_id，然后在user_auth_providers表中插入新的关联记录，再生成登录会话

3. 支持登录方式绑定 #

允许已登录用户绑定其他登录渠道，步骤如下：

• 用户进入账号设置页面，选择要绑定的方式（比如绑定Google账号）
• 触发对应登录流程（比如跳转Google OAuth授权），验证通过后提取该渠道的唯一标识
• 检查该标识是否已被其他用户绑定：
  • 未绑定：在user_auth_providers表中插入当前用户ID与该标识的关联记录
  • 已绑定：提示用户该凭证已被其他账号使用，无法绑定
• 绑定前需验证当前用户身份（比如输入当前登录方式的密码，或发送验证邮件/OTP），防止恶意操作

4. 处理账号合并场景 #

如果用户不小心通过不同方式创建了多个独立账号，提供手动合并功能：

• 用户登录其中一个账号，发起合并请求，输入另一个账号的登录凭证（比如邮箱+密码，或OTP验证码）
• 验证另一个凭证的有效性后，将该凭证关联的所有user_auth_providers记录的user_id更新为当前登录账号的ID
• 合并后删除被合并的users记录（或标记为已合并），确保所有凭证指向同一个用户ID

关键注意事项 #

• 唯一性约束：必须为user_auth_providers表的(provider_type, provider_identifier)设置唯一索引，避免同一凭证被多个用户绑定
• 安全校验：绑定或合并账号时，必须验证当前用户的身份，防止账号劫持
• 会话一致性：无论哪种登录方式生成的会话，都要携带同一个用户ID，前端根据该ID处理用户相关逻辑

内容的提问来源于stack exchange，提问作者Das Boomer