Serverless配置Cognito postConfirmation Lambda触发器未触发

按优先级从高到低排查，90%的问题都集中在前3项：

• 先确认触发器实际绑定状态
  不要完全信任Serverless框架的部署结果，直接打开AWS控制台进入对应Cognito用户池，找到「触发器」配置页，检查PostConfirmation条目是否真的关联了你部署的目标Lambda ARN。配置中existing: true参数生效时，Serverless框架如果因为权限不足、用户池名称匹配失败，会静默跳过触发器绑定步骤，不会抛出部署错误。
  额外核对pool字段的实际渲染值：确认${self:service}-user-pool-${self:provider.stage}替换后和控制台显示的用户池名称完全一致，注意大小写、连字符、前后空格，哪怕差一个字符框架都找不到对应用户池。
• 校验Lambda的调用权限
  Cognito能调用Lambda的前提是Lambda的资源策略明确授权Cognito服务主体调用权限。打开目标Lambda的「配置-权限」页，检查资源策略中是否存在允许cognito-idp.amazonaws.com服务调用、且源ARN匹配你的用户池ARN的策略语句，正确的策略片段参考：

  {
    "Effect": "Allow",
    "Principal": {"Service": "cognito-idp.amazonaws.com"},
    "Action": "lambda:InvokeFunction",
    "Resource": "你的Lambda函数ARN",
    "Condition": {"ArnLike": {"AWS:SourceArn": "你的Cognito用户池ARN"}}
  }
  

  旧版本Serverless框架处理existing: true的Cognito事件源时，经常不会自动创建这条权限，需要手动补充IAM配置或者在控制台手动添加。
• 确认测试流程命中触发条件
  PostConfirmation触发器仅在用户完成账号确认动作后触发：包括用户输入邮箱/手机验证码完成自助确认、管理员调用API手动确认未激活账号。如果测试时直接在控制台创建已激活状态的用户、调用AdminCreateUser时直接设置永久密码跳过确认流程，都不会触发该事件。
  同时核对测试时调用的用户池和绑定触发器的用户池是否一致，多环境（dev/test/prod）切换时很容易出现测试请求打到无触发器配置的用户池的问题。
• 校验资源部署一致性
  确认Lambda和Cognito用户池部署在同一个AWS区域，跨区域的触发器绑定会直接失效，且控制台不会给出明确报错。
  直接从Lambda控制台的监控页跳转进入专属CloudWatch日志组，确认函数是否真的没有任何调用记录——如果连空调用、报错记录都不存在，问题完全在绑定/权限层，和你的函数代码无关。同时可以在控制台直接查看Lambda的线上代码，确认你加的日志语句已经成功部署，排除本地代码没打包上传的缓存问题。

额外注意：如果你的Cognito用户池配置了其他前置触发器（比如PreSignUp、CustomMessage），要确认这些触发器没有返回异常导致确认流程提前中断，流程中断的话PostConfirmation自然不会执行。

内容的提问来源于stack exchange，提问作者Austin Walela