基于AWS Cognito的Node应用自定义邮件验证方案咨询

一、使用Cognito生成的验证码配合自定义邮件/前端验证页 #

可以实现，但需要在Lambda触发器中捕获Cognito生成的验证码并临时存储，后续后端验证时通过这个存储校验：

1. 在CustomMessage触发器中捕获验证码并存储
   当Cognito触发邮箱验证流程时，CustomMessage Lambda函数会收到包含验证码的事件参数（event.request.codeParameter）。此时你需要：

   • 将验证码与用户的email/username关联，存入临时存储（比如DynamoDB，设置合适的过期时间，比如15分钟）
   • 自行拼接前端验证链接（如https://my-frontend.com/verify-email?code=${验证码}&user-email=${用户邮箱}）
   • 调用你的外部邮件发送服务，把这个链接发送给用户

   示例Lambda代码片段：

   exports.handler = async (event) => {
     if (event.triggerSource === 'CustomMessage_SignUp') {
       const verificationCode = event.request.codeParameter;
       const userEmail = event.request.userAttributes.email;
       const username = event.userName;
   
       // 1. 存储验证码到DynamoDB，设置TTL过期
       await dynamoDb.put({
         TableName: 'CognitoVerificationCodes',
         Item: {
           email: userEmail,
           code: verificationCode,
           username: username,
           expiresAt: Math.floor(Date.now() / 1000) + 900 // 15分钟后过期
         }
       }).promise();
   
       // 2. 构建前端验证链接
       const verifyLink = `https://my-frontend.com/verify-email?code=${verificationCode}&user-email=${userEmail}`;
   
       // 3. 调用外部邮件服务发送邮件
       await externalEmailService.send({
         to: userEmail,
         subject: '验证你的邮箱',
         body: `点击链接验证：${verifyLink}`
       });
   
       // 阻止Cognito发送默认邮件
       event.response.emailSubject = '';
       event.response.emailMessage = '';
     }
     return event;
   };
   

2. 后端验证验证码并更新用户属性
   当前端把验证码和用户邮箱发送到Node后端时，执行以下步骤：

   • 从DynamoDB中查询对应邮箱的验证码
   • 校验验证码是否匹配、是否未过期
   • 验证通过后，调用AdminUpdateUserAttributes接口标记邮箱为已验证
   • 验证完成后删除存储中的验证码（或等待自动过期）

   示例Node后端代码片段：

   const { CognitoIdentityProvider, DynamoDB } = require('aws-sdk');
   const cognito = new CognitoIdentityProvider();
   const dynamoDb = new DynamoDB.DocumentClient();
   
   async function verifyEmail(req, res) {
     const { code, userEmail } = req.body;
   
     // 1. 查询存储的验证码
     const result = await dynamoDb.get({
       TableName: 'CognitoVerificationCodes',
       Key: { email: userEmail }
     }).promise();
   
     if (!result.Item || result.Item.code !== code || result.Item.expiresAt < Math.floor(Date.now() / 1000)) {
       return res.status(400).json({ error: '无效或过期的验证码' });
     }
   
     // 2. 调用AdminUpdateUserAttributes标记邮箱已验证
     await cognito.adminUpdateUserAttributes({
       UserAttributes: [{
         Name: 'email_verified',
         Value: 'true'
       }],
       UserPoolId: '你的用户池ID',
       Username: result.Item.username
     }).promise();
   
     // 3. 删除已使用的验证码
     await dynamoDb.delete({
       TableName: 'CognitoVerificationCodes',
       Key: { email: userEmail }
     }).promise();
   
     res.status(200).json({ message: '邮箱验证成功' });
   }
   

二、让Cognito生成前端跳转链接给自定义邮件服务 #

Cognito本身不会直接生成前端跳转链接，但你可以在CustomMessage触发器中，利用Cognito提供的验证码自行构建链接，再通过外部邮件服务发送——这其实就是上面第一部分的流程。

关于你提到的「消息自定义选项对非SES邮件发送器无效」：确实，Cognito的消息模板自定义仅适用于使用SES作为邮件发送服务的场景。但通过CustomMessage Lambda触发器，你完全可以绕过Cognito的默认邮件发送逻辑，自行控制邮件内容和发送渠道，包括构建前端验证链接。

关键注意事项 #

• 确保Lambda和Node后端拥有足够的IAM权限：Lambda需要DynamoDB的读写权限、外部邮件服务的调用权限；后端需要Cognito的AdminUpdateUserAttributes权限和DynamoDB的读写权限。
• 验证码存储必须设置过期时间，避免无效数据积累和安全风险。
• 验证完成后及时删除已使用的验证码，防止重复使用。

内容的提问来源于stack exchange，提问作者b.c.1009