现有React Native应用集成Voximplant的用户管理与客户端登录问题

针对你设计的Cognito注册后触发Lambda自动创建VoxImplant用户的架构，三个问题的落地逻辑如下：

1. 应用启动阶段的VoxImplant登录流程 #

• 应用冷启动后先走Cognito标准鉴权，调用Amplify的Auth.currentAuthenticatedUser()校验本地Cognito登录态，失效则跳转自有登录注册流程。
• Cognito鉴权通过后，请求你自己部署的、受Cognito权限保护的业务接口（推荐用API Gateway+Lambda实现），申请VoxImplant临时登录凭证，不要让客户端直接持有VoxImplant长期账号密码。
• 拿到后端返回的一次性登录参数后，调用React Native版VoxImplant SDK的Client.loginWithOneTimeKey方法完成VoxImplant侧登录，登录态校验通过后再初始化音视频通话相关模块。

注意：禁止在客户端硬编码、本地持久化存储VoxImplant长期账号密码，所有密钥计算逻辑收敛到后端，避免泄露风险。

2. One Time Key一次性密钥登录的实现逻辑 #

你不需要单独建库存储VoxImplant用户密码，正确流程是：

• Cognito postConfirmation触发Lambda创建VoxImplant用户时，为每个用户随机生成强密码作为该VoxImplant账号的固定密码，这个密码直接写入对应用户的Cognito自定义属性（比如custom:vox_password），配置属性权限为仅管理员可读写，客户端无读取权限即可，不需要额外在业务库存储。
• 登录全程客户端不会接触VoxImplant长期固定密码：客户端先调用VoxImplant SDK获取一次性登录盐值，将盐值、当前Cognito用户ID传给受保护的后端接口；后端校验Cognito请求合法性后，从对应用户的Cognito自定义属性中读出VoxImplant密码，按照VoxImplant指定的签名规则计算出一次性登录令牌返回给客户端；客户端持该令牌完成VoxImplant登录即可。
• 一次性令牌仅单次有效、有效期极短，就算传输过程被截获也无法重复使用，安全性远高于客户端直接传固定密码登录。

3. 示例中appUser和appUserPassword的来源 #

官方示例里的这两个参数和Cognito用户登录密码没有任何关系：

• appUser是你创建VoxImplant用户时生成的完整VoxImplant账号ID，格式一般为用户名@应用名.你开通的VoxImplant账号名.voximplant.com，一般直接用Cognito用户的UUID作为用户名部分，创建账号时可以同步存在Cognito自定义属性里，后端计算签名、客户端登录都可以直接用。
• appUserPassword就是创建VoxImplant用户时为该账号生成的随机固定密码，这个值永远只存储在服务端，不会下发给客户端。示例里展示这个参数是为了说明服务端签名计算的入参，不是要求客户端把这个值传给后端——实际请求里客户端只需要传Cognito鉴权凭证和VoxImplant SDK拿到的一次性盐值，appUserPassword由后端自行从存储中读取，不需要客户端提供。

内容的提问来源于stack exchange，提问作者andreav