如何区分AWS Cognito回调中的用户注册与登录场景

直接给结论：你没法从Cognito回调的默认请求头、或者兑换得到的标准令牌内容里直接区分当前请求是注册场景还是登录场景。
Cognito的OAuth授权码流程本身就没对「注册完成后自动跳转回调」和「普通登录跳转回调」做区分标记，两种场景返回的授权码结构、兑换出来的id_token/access_token/refresh_token的标准声明字段完全一致，根本没有内置的新用户标识字段。

要实现「仅注册时创建DynamoDB用户记录、登录时不重复执行」的需求，按可靠性从高到低选方案就行：

• 优先用Cognito Post Confirmation触发器（最推荐，完全没有多余DynamoDB调用）
  这是Cognito原生提供的注册流程专用钩子：给你的用户池绑定一个Post Confirmation触发的Lambda，逻辑就写「用户完成注册确认后，往DynamoDB写入对应用户记录」。
  这个触发器只会在用户首次完成注册验证（不管是邮箱/手机号验证，还是管理员后台确认注册）的时候触发，后续用户每次登录都不会触发，根本不需要你在回调接口里写任何判断逻辑，从根源上避免注册、登录逻辑混在一起，也不会产生多余的数据库查询。
• 给注册、登录入口加不同的回调参数（次选，改造成本低）
  如果你不想配触发器，可以在Cognito应用客户端的允许回调列表里，给两个场景加不同的参数标记：前端跳Cognito托管登录页的时候，注册入口的redirect_uri带专属场景参数，比如https://你的域名/callback?scene=signup，登录入口的redirect_uri用普通登录参数，比如https://你的域名/callback?scene=login。
  回调Lambda直接读query里的scene参数就能区分场景，不用查库也不用解析多余字段。唯一的问题是这个方案依赖前端传参，存在用户手动篡改参数导致逻辑错判的可能。
• 用Cognito自定义属性做同步标记（兜底方案）
  给Cognito用户池加一个布尔类型的自定义属性，比如custom:db_synced，默认值设为false。回调接口兑换到id_token之后，先解析这个自定义字段：如果值是false就执行DynamoDB用户记录创建，创建完成后调Cognito管理接口把当前用户的custom:db_synced更新为true；如果值是true直接走正常登录逻辑就行。
  这个方案不用改前端跳转逻辑，但每次回调都要解析token里的自定义字段，首次注册还要额外调一次Cognito接口更新属性，不管是性能还是可靠性都不如触发器方案。

别浪费时间扒默认请求头和标准token字段，Cognito根本不会在这两个位置返回场景区分标识。

内容的提问来源于stack exchange，提问作者PGT