使用联合身份登录Cognito管理的应用时为何尝试更新邮箱和手机号

核心原因 #

Cognito通过SAML联合登录时，默认会用IDP返回的属性覆盖用户池里已存在的用户属性。哪怕你的IDP没修改属性值，只要用户池把phone_number和email设为必填，且这些属性被标记为不可修改，Cognito触发的更新操作就会失败报错。

具体解决步骤 #

• 开放属性修改权限：进入Cognito用户池的「属性」设置页面，找到phone_number和email，勾选它们的「可修改」选项。这样就算IDP返回相同值，Cognito允许更新操作后就不会报错。
• 调整属性映射的更新策略：在Cognito的SAML身份提供商配置里，把属性映射的「更新行为」从默认的OVERWRITE改成MERGE或者NOTIFY。这种情况下，只有当IDP返回的属性值和用户池现有值不同时，才会执行更新。
• 校验IDP属性格式：确认IDP返回的phone_number是E.164标准格式（比如+86138xxxxxxx），email是合规的邮箱格式。有时候格式不一致（比如手机号带空格、邮箱少了@），哪怕内容看似一样，也会触发更新失败。
• 用Lambda触发器拦截无意义更新：如果上面的方法都不适合，可以添加「Pre Authentication Lambda Trigger」，在登录流程里拦截IDP返回的属性，只在值确实发生变化时才传给Cognito，避免触发不必要的更新操作。

内容的提问来源于stack exchange，提问作者hikarunoryoma