基于Cognito的多租户认证：无专属域名识别租户用户池

针对你提出的三个疑问，逐个给出实操性的解答：

1. 是否仅通过询问用户邮箱即可确定其所属租户？ #

这取决于租户的邮箱策略：

• 如果租户使用专属企业域名邮箱（如user@tenant-abc.com）：可以直接解析邮箱的域名部分，预先在系统中配置「域名-User Pool ID」的映射关系，无需额外询问用户，就能自动识别租户并跳转对应登录页。
• 如果用户使用公共邮箱（如Gmail、QQ邮箱）：仅靠邮箱无法确定租户，必须让用户额外提供租户标识（如租户代码、企业简称），或者结合用户过往登录的本地缓存信息（如Cookie、LocalStorage）来辅助识别。

2. 若该方案可行，是否会限制用户在不同租户User Pool中使用相同邮箱？ #

不会强制限制，完全由你的系统设计决定：

• 若采用域名映射租户的方式：公共邮箱用户可以在多个租户的User Pool中注册，因为邮箱域名不绑定特定租户，每个User Pool独立校验邮箱在池内的唯一性即可。
• 若你希望全局限制邮箱唯一：则需要在全局数据库中维护邮箱与租户的绑定关系，此时同一邮箱无法跨租户注册；但这种设计通常不符合多租户场景的灵活性需求，不推荐。

3. 是否需要数据库维护所有用户与User Pool ID的映射关系？该方案在用户池使用SSO时是否适用？ #

分场景判断：

• 无需维护映射的场景：如果是通过邮箱域名自动识别租户，只需预先配置「域名-User Pool ID」的静态映射表（可存在配置文件或数据库中），不需要维护每个用户的映射关系。
• 需要维护映射的场景：如果用户使用公共邮箱，或需要用户手动输入租户标识，建议维护一个「租户标识/邮箱前缀-User Pool ID」的映射表；另外，用户首次登录后，可以在客户端缓存其租户信息，下次访问时自动填充，提升体验。
• SSO场景的适用性：
  • 若采用第三方身份提供商（IdP）的SSO（如SAML/OIDC）：可以让IdP在断言中返回用户所属的租户ID属性，系统直接通过该属性匹配对应的User Pool，无需额外映射表。
  • 若租户内部使用SSO：映射表依然适用，只要SSO流程能传递租户标识，就能路由到对应的User Pool完成登录。

内容的提问来源于stack exchange，提问作者rb.611