AWS Cognito注册添加用户到组报错：本地存储缺少ID Token

问题根源 #

刚完成注册的用户仅创建了账号，未完成身份认证流程（未登录或未验证邮箱），此时调用Auth.updateUserAttributes修改cognito:groups会因缺少有效ID Token报错。另外，cognito:groups是Cognito后台管理的字段，客户端直接修改的方式本身不符合Cognito的权限设计。

推荐解决办法 #

方法1：控制台配置自动添加用户到组（最简洁安全） #

如果所有新注册用户都需要加入members组，直接在Cognito控制台开启自动注册功能即可，无需编写额外代码：

• 登录AWS控制台，进入目标Cognito用户池
• 切换到「组」标签页，选择members组
• 点击「编辑」，找到「自动注册」选项并启用，保存设置
  此后所有新注册用户会自动加入该组，完全规避前端权限问题。

方法2：注册后完成认证再更新属性 #

若仅部分用户需要加入组，且用户池允许无需验证即可登录：
在注册完成后立即登录用户，确保获取到有效ID Token后再执行组更新：

// 执行注册
const signUpResponse = await Auth.signUp({
  username: email,
  password: password,
  // 可选：添加其他用户属性
});

// 立即登录刚注册的用户
await Auth.signIn(email, password);
const authUser = await Auth.currentAuthenticatedUser();

// 更新用户组
await Auth.updateUserAttributes(authUser, {
  'cognito:groups': ['members'],
});

⚠️ 注意：如果用户池要求邮箱/电话验证，未验证用户无法登录，此方法不适用。

方法3：配置IAM权限调用AdminAddUserToGroup API #

若需灵活控制用户组添加逻辑，且可接受一定安全风险：

1. 进入AWS IAM控制台，找到Amplify应用对应的authRole（命名格式通常为amplify-<应用名>-<环境>-authRole）
2. 为该角色添加权限策略，允许调用AdminAddUserToGroup：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "cognito-idp:AdminAddUserToGroup",
      "Resource": "arn:aws:cognito-idp:<你的区域>:<账号ID>:userpool:<用户池ID>"
    }
  ]
}

3. 前端通过AWS SDK直接调用接口添加用户到组：

import { CognitoIdentityProviderClient, AdminAddUserToGroupCommand } from "@aws-sdk/client-cognito-identity-provider";
import { Amplify } from 'aws-amplify';
import awsExports from '../path/to/aws-exports';

Amplify.configure(awsExports);

const addToGroup = async (username: string) => {
  const client = new CognitoIdentityProviderClient({
    region: awsExports.aws_cognito_region,
    credentials: await Amplify.Auth.currentCredentials(),
  });

  const command = new AdminAddUserToGroupCommand({
    UserPoolId: awsExports.aws_user_pools_id,
    Username: username,
    GroupName: 'members',
  });

  await client.send(command);
};

// 注册完成后调用
const signUpRes = await Auth.signUp(...);
await addToGroup(signUpRes.user.username);

⚠️ 此方法会让前端拥有用户组管理权限，仅建议在内部应用等低风险场景使用。

内容的提问来源于stack exchange，提问作者DevOverflow