AWS Cognito ConfirmForgotPassword请求无效，如何排查参数问题？

问题描述 #

使用C#调用AWS Cognito的ConfirmForgotPassword接口时，仅抛出**"Request does not contain valid parameters"**异常，无具体错误信息。尝试添加SecretHash参数后问题仍未解决。

原始调用代码：

using (var cognito = new AmazonCognitoIdentityProviderClient(AWS_AccessKey, AWS_SecretKey, AWSRegion))
{
    ConfirmForgotPasswordRequest confirmForgotPasswordRequest = new ConfirmForgotPasswordRequest();
    confirmForgotPasswordRequest.Username = userName;
    confirmForgotPasswordRequest.ClientId = clientId;
    confirmForgotPasswordRequest.Password = password;
    confirmForgotPasswordRequest.ConfirmationCode = confirmationCode;
    ConfirmForgotPasswordResponse confirmForgotPasswordResponse = new ConfirmForgotPasswordResponse();
    try
    {
        confirmForgotPasswordResponse = await cognito.ConfirmForgotPasswordAsync(confirmForgotPasswordRequest);
    }
    catch (Exception ex)
    {
      // 抛出异常 "Request does not contain valid parameters"
    }
    
}

添加SecretHash后的尝试代码：

confirmForgotPasswordRequest.SecretHash = HmacSha256(userName + clientId, clientSecret);

private string HmacSha256(string message, string secret)
{
    ASCIIEncoding encoding = new ASCIIEncoding();
    byte[] keyBytes = encoding.GetBytes(secret);
    byte[] messageBytes = encoding.GetBytes(message);
    System.Security.Cryptography.HMACSHA256 cryptographer = new System.Security.Cryptography.HMACSHA256(keyBytes);

    byte[] bytes = cryptographer.ComputeHash(messageBytes);

    return BitConverter.ToString(bytes).Replace("-", "").ToLower();
}

排查方案 #

1. 捕获具体异常类型 #

AWS SDK针对Cognito操作会抛出AmazonCognitoIdentityProviderException，该异常包含ErrorCode和Message属性，能直接返回具体的参数错误原因。修改异常捕获逻辑：

catch (AmazonCognitoIdentityProviderException ex)
{
    Console.WriteLine($"错误码: {ex.ErrorCode}, 详细信息: {ex.Message}");
    // 例如可能返回"Invalid password format"或"Invalid confirmation code"等具体提示
}

2. 验证SecretHash生成逻辑 #

若你的Cognito应用客户端开启了Generate client secret，则必须传入SecretHash，但需注意两点：

• 字符编码：必须使用UTF-8而非ASCII，避免非英文字符处理错误
• 拼接顺序：正确的消息内容是用户名 + 客户端ID，密钥为客户端密钥

修改后的生成方法：

private string HmacSha256(string message, string secret)
{
    using var hmac = new System.Security.Cryptography.HMACSHA256(Encoding.UTF8.GetBytes(secret));
    var hashBytes = hmac.ComputeHash(Encoding.UTF8.GetBytes(message));
    return BitConverter.ToString(hashBytes).Replace("-", "").ToLowerInvariant();
}

// 调用时确保拼接顺序正确
confirmForgotPasswordRequest.SecretHash = HmacSha256(userName + clientId, clientSecret);

3. 逐一验证参数合规性 #

• Password：必须严格匹配用户池配置的密码策略（长度、大小写、特殊字符要求等）
• ConfirmationCode：必须是Cognito发送的有效验证码，且未过期（默认15分钟有效期）
• Username：必须是用户池内已存在的用户名，注意用户池是否开启了大小写敏感配置
• ClientId：必须是目标用户池下已启用的应用客户端ID，不可混用其他用户池的ID

4. 开启SDK日志查看原始请求 #

通过启用AWS SDK的Debug日志，可以查看实际发送给Cognito的请求参数，以及服务端的完整响应。在appsettings.json中添加配置：

{
  "AWS": {
    "Logging": {
      "LogLevel": {
        "Default": "Debug",
        "Amazon": "Debug"
      }
    }
  }
}

日志中会输出完整的请求体和响应内容，便于对比参数是否符合要求。

内容的提问来源于stack exchange，提问作者Craig