如何在AWS Cognito PostAuthentication触发器Lambda中获取AccessToken

无需AccessToken：直接用Admin API更新属性 #

PostAuthentication触发器的event参数里已经包含了用户的userName、userPoolId以及用户属性集合，完全不需要AccessToken就能更新用户属性。你可以通过AWS SDK调用AdminUpdateUserAttributes API直接操作，这是最简洁且符合安全规范的方案。

示例代码（Node.js） #

const AWS = require('aws-sdk');
const cognito = new AWS.CognitoIdentityServiceProvider();

exports.handler = async (event) => {
  const updateParams = {
    UserPoolId: event.userPoolId,
    Username: event.userName,
    UserAttributes: [
      {
        Name: 'custom:last_login_timestamp',
        Value: Date.now().toString()
      },
      // 添加其他需要更新的属性键值对
    ]
  };

  try {
    await cognito.adminUpdateUserAttributes(updateParams).promise();
    return event; // 必须返回event，否则触发器会执行失败
  } catch (error) {
    console.error('用户属性更新失败:', error);
    throw error; // 抛出错误会触发Cognito的失败流程，可根据业务需求调整处理逻辑
  }
};

权限说明：确保Lambda执行角色拥有cognito-idp:AdminUpdateUserAttributes的IAM权限，否则API调用会因权限不足失败。

若必须获取AccessToken：通过AdminInitiateAuth生成 #

如果你确实需要获取AccessToken，只能通过Cognito的AdminInitiateAuth API生成，但这个方案存在明显限制：

• 你需要获取用户的登录凭证（比如密码），但PostAuthentication触发器的event里不会包含用户密码，只能从外部（如Web应用端）传入，这不符合安全最佳实践。
• 需要开启用户池的ALLOW_ADMIN_USER_PASSWORD_AUTH认证流程，采用ADMIN_NO_SRP_AUTH模式调用API。

示例代码（Node.js，仅作演示，不推荐生产环境使用） #

const AWS = require('aws-sdk');
const cognito = new AWS.CognitoIdentityServiceProvider();

exports.handler = async (event) => {
  // 注意：用户密码需要从外部传入，event参数中不包含该信息
  const authParams = {
    AuthFlow: 'ADMIN_NO_SRP_AUTH',
    UserPoolId: event.userPoolId,
    ClientId: '你的Cognito应用客户端ID',
    AuthParameters: {
      USERNAME: event.userName,
      PASSWORD: '用户登录密码'
    }
  };

  try {
    const authResult = await cognito.adminInitiateAuth(authParams).promise();
    const accessToken = authResult.AuthenticationResult.AccessToken;
    // 使用AccessToken执行后续逻辑
    return event;
  } catch (error) {
    console.error('获取AccessToken失败:', error);
    throw error;
  }
};

总结：优先选择方案一，用Admin API直接更新用户属性，避免不必要的Token获取流程，既安全又高效。

内容的提问来源于stack exchange，提问作者the.reversengineer