Cognito验证密码不触发登录流程，实现设备免二次认证需求

一、仅验证密码不触发MFA挑战 #

Cognito没有直接提供前端"仅验证密码"的API，但可以通过后端Lambda调用Cognito的AdminInitiateAuth接口实现，绕过前端MFA触发逻辑：

1. 创建后端Lambda函数：
   在Lambda中调用AdminInitiateAuth，使用ADMIN_USER_PASSWORD_AUTH认证流，传入用户的用户名和密码：

   import boto3
   
   client = boto3.client('cognito-idp')
   
   def lambda_handler(event, context):
       username = event['username']
       password = event['password']
       user_pool_id = '你的用户池ID'
       client_id = '你的应用客户端ID'
   
       try:
           client.admin_initiate_auth(
               UserPoolId=user_pool_id,
               ClientId=client_id,
               AuthFlow='ADMIN_USER_PASSWORD_AUTH',
               AuthParameters={
                   'USERNAME': username,
                   'PASSWORD': password
               }
           )
           # 只要不抛出NotAuthorizedException，就说明密码正确（即使返回MFA_CHALLENGE也代表密码有效）
           return {'statusCode': 200, 'body': {'valid': True}}
       except client.exceptions.NotAuthorizedException:
           return {'statusCode': 401, 'body': {'valid': False, 'message': '密码错误'}}
       except Exception as e:
           return {'statusCode': 500, 'body': {'valid': False, 'message': str(e)}}
   

2. 前端调用该Lambda接口：
   当APP启动且用户已登录时，弹出密码输入框，从当前认证用户信息中获取用户名，和输入的密码一起传给上述Lambda，根据返回结果判断密码是否有效，无需处理MFA流程。

二、让特定设备免除二次认证 #

Cognito自带设备跟踪功能，可将信任设备标记为"已记住"，后续登录该设备时自动跳过MFA：

1. 开启用户池设备跟踪：
   在AWS控制台的Cognito用户池设置中，找到「设备跟踪」选项：
   • 选择「允许用户记住设备」
   • 设置「记住设备的有效期」（例如365天）
2. 登录时标记设备为已记住：
   使用Amplify的signIn方法时，传入deviceOptions参数标记设备：

   import { Auth } from 'aws-amplify';
   
   async function signInWithRememberDevice(username, password) {
       await Auth.signIn({
           username,
           password,
           deviceOptions: {
               deviceRememberedStatus: 'remembered'
           }
       });
   }
   

3. 后续登录自动跳过MFA：
   用户在已标记为「remembered」的设备上登录时，Cognito会自动跳过MFA挑战，直接完成登录。

你可以将两种方案结合：APP启动时通过后端Lambda验证密码，同时让信任设备免MFA，既满足安全验证需求，又避免不必要的MFA打扰。

内容的提问来源于stack exchange，提问作者almostalx