能否通过API对AWS Cognito用户进行程序化身份验证？

完全可以通过AWS JavaScript SDK/Amplify实现程序化的用户身份验证，不需要依赖Web表单。核心是要通过用户池客户端发起验证请求（仅用户池ID不足以完成验证，Cognito设计要求必须搭配客户端ID），以下是两种可行的实现方式：

方式一：使用AWS Amplify（推荐，封装更简便） #

Amplify是AWS官方的前端开发框架，封装了Cognito的常用操作，步骤如下：

1. 安装依赖：

npm install aws-amplify

2. 初始化配置并实现验证：

import { Amplify, Auth } from 'aws-amplify';

// 初始化Amplify，配置用户池及客户端信息
Amplify.configure({
  Auth: {
    region: '你的AWS区域', // 例如 us-east-1
    userPoolId: '你的用户池ID',
    userPoolWebClientId: '你的用户池客户端ID' // 关键：必须提供客户端ID
  }
});

// 程序化验证用户名密码
async function login(username, password) {
  try {
    const user = await Auth.signIn(username, password);
    // 验证成功，可获取用户信息、凭证等
    console.log('登录成功', {
      userId: user.attributes.sub,
      idToken: user.signInUserSession.idToken.jwtToken,
      accessToken: user.signInUserSession.accessToken.jwtToken
    });
    return user;
  } catch (err) {
    console.error('登录失败', err.message);
    throw err;
  }
}

// 调用示例
login('your-username', 'your-password');

方式二：直接使用AWS SDK v3（底层控制更灵活） #

如果不想引入Amplify，可以直接使用AWS SDK for JavaScript v3的CognitoIdentityProvider客户端：

1. 安装依赖：

npm install @aws-sdk/client-cognito-identity-provider

2. 实现验证逻辑：

import { CognitoIdentityProviderClient, InitiateAuthCommand } from "@aws-sdk/client-cognito-identity-provider";

// 创建Cognito客户端实例
const cognitoClient = new CognitoIdentityProviderClient({
  region: '你的AWS区域'
});

// 发起身份验证请求
async function authenticate(username, password, clientId) {
  const command = new InitiateAuthCommand({
    AuthFlow: 'USER_PASSWORD_AUTH', // 指定用户名密码认证流程
    ClientId: clientId,
    AuthParameters: {
      USERNAME: username,
      PASSWORD: password
    }
  });

  try {
    const response = await cognitoClient.send(command);
    // 验证成功，返回包含各类凭证的响应
    console.log('验证成功', response.AuthenticationResult);
    return response;
  } catch (err) {
    console.error('验证失败', err.message);
    throw err;
  }
}

// 调用示例
authenticate('your-username', 'your-password', '你的客户端ID');

关键注意事项 #

• 必须启用客户端的USER_PASSWORD_AUTH流程：在AWS控制台的用户池客户端设置中，找到“认证流程”，勾选“允许用户名密码认证（USER_PASSWORD_AUTH）”，否则请求会报错。
• 不能仅用用户池ID：Cognito的身份验证请求必须通过用户池客户端发起，所以必须获取对应的客户端ID（在用户池的“应用集成”->“应用客户端”中查看）。
• MFA处理：如果用户启用了多因素认证，验证流程会进入MFA_SETUP或SMS_MFA挑战状态，需要额外处理凭证的提交逻辑。

内容的提问来源于stack exchange，提问作者hotmeatballsoup