AWS Cognito Google登录时通过federatedSignIn传自定义数据至Lambda触发器可行吗？

直接通过Auth.federatedSignIn()的参数传递clientMetaData或validationData到Pre Authentication Trigger Lambda无法实现，因为该方法走的是Cognito Hosted UI的OAuth2/OIDC授权流程，前端无法直接将自定义数据注入到这个标准化的登录流中。但可以通过以下两种替代方案实现类似需求：

方案1：利用Hosted UI的state参数传递轻量数据 #

Cognito Hosted UI支持state参数，这个参数会在整个授权流程中被保留，最终可以在Pre Authentication Trigger的事件中获取到。你可以将自定义数据编码后放入state中：

前端代码修改 #

Auth.federatedSignIn({
  provider: CognitoHostedUIIdentityProvider.Google,
  // 将自定义数据JSON编码后转base64，避免URL传输问题
  state: btoa(JSON.stringify({ customKey: "customValue", tempId: "xxx" }))
})

Pre Auth Trigger Lambda解析数据 #

import json
import base64

def lambda_handler(event, context):
    # 从事件中提取state参数
    state = event["request"]["userAttributes"].get("cognito:state")
    if state:
        # 解码并解析自定义数据
        custom_data = json.loads(base64.b64decode(state).decode("utf-8"))
        # 在这里使用自定义数据做业务逻辑处理
        print("获取到自定义数据：", custom_data)
    
    return event

注意：state参数有长度限制，且会通过URL传递，不要存放敏感数据。

方案2：后端存储+Lambda关联查询（适合复杂/敏感数据） #

如果需要传递较大或敏感的自定义数据，可以先将数据存储到后端，再在Pre Auth Trigger中关联查询：

• 用户发起Google登录前，先调用你的自定义后端API，将自定义数据存入DynamoDB等存储服务，用用户的Google邮箱（或临时会话ID）作为唯一标识。
• 在Pre Auth Trigger Lambda中，从事件的event["request"]["userAttributes"]["email"]获取用户邮箱，以此为键去存储服务中查询对应的自定义数据，再执行后续逻辑。

这种方式可以处理更复杂的数据场景，且能保证数据安全性，但需要额外维护后端存储和过期清理逻辑。

内容的提问来源于stack exchange，提问作者iJade