AWS Cognito集成Google IDP时无法获取受保护自定义属性映射问题

核心故障原因 #

基础属性（name/email/picture）映射正常、自定义受保护属性映射失败是Cognito联邦登录的典型场景问题，核心原因集中在4个层面：

• Cognito默认逻辑是只从Google返回的ID Token claims里提取属性做映射，不会主动调用Google UserInfo接口拉取额外scope对应的属性。你配置的email profile openid三个scope对应的属性默认就在ID Token里，所以可以正常映射；https://www.googleapis.com/auth/user.organization.read对应的组织类属性默认不会写入ID Token，Cognito拿不到对应值自然无法完成映射。
• 属性映射配置的Google侧claim字段名和实际返回值不匹配：Google组织scope返回的字段为organizations（数组结构），如果配置时填写的字段名大小写、格式和实际返回字段不一致，会直接取空值，且全程无显式报错。
• 应用客户端属性权限配置缺失：自定义受保护属性默认不会开放给应用客户端读取，如果没有手动给对应App client开可读权限，就算属性成功写入用户池，也不会出现在Cognito的接口响应、令牌claims中。
• 数组类型属性映射限制：Cognito原生属性映射不支持直接把数组类型的claim值写入字符串类型的自定义用户属性，遇到这类值会直接静默跳过写入操作。

分步修复操作 #

1. 先确认Google实际返回的字段
   走一次完整的Google授权登录流程，抓回调请求中的id_token参数，做Base64解码查看payload段，确认你需要的组织相关字段是否存在、具体字段名是什么、值格式是什么，不要直接参照官方文档猜字段。
2. 开启Cognito拉取UserInfo属性开关
   进入Cognito用户池控制台，找到你配置的Google IDP编辑页，拉到页面底部开启「从用户信息端点映射属性」选项，保存配置后Cognito会在ID Token校验通过后，主动携带授权scope请求Google UserInfo接口拉取额外属性。
3. 修正属性映射配置
   对照你之前解码拿到的实际Google返回字段名，修改Cognito属性映射配置中对应自定义属性的Google侧claim值，注意Cognito的claim匹配是大小写敏感的，必须完全一致。
4. 配置应用客户端属性权限
   进入对应App client的设置页，找到「属性读写权限」配置项，给你需要返回的自定义受保护属性勾选「可读」权限，如果属性需要在首次登录时写入，同时确认已给联邦身份开放该属性的写入权限。注意自定义属性默认带custom:前缀，没开可读权限绝对不会出现在响应里。
5. 处理数组类型属性
   如果你要映射的organizations字段是数组格式，需要配置Pre Sign-up Lambda触发器，在触发器代码中从event.request.userAttributes里提取Google返回的原始数组值，转成字符串格式后手动赋值给对应的自定义用户属性，完成写入。

测试注意：每次修改配置后，必须走完整的登出-重新授权Google账号流程，不要复用已有登录会话测试，否则会因为Cognito、Google两边的缓存导致测试结果不准。

内容的提问来源于stack exchange，提问作者Yovel Ovadia