AWS Cognito用户池自定义认证Lambda未触发如何解决

按以下优先级逐一排查配置，即可让Cognito正常触发自定义认证流程的Lambda触发器：

1. 开启应用客户端的自定义认证流权限 #

Cognito应用客户端默认不启用自定义认证流，这是最常见的配置遗漏：

• 进入Cognito用户池控制台，打开「应用集成」栏目下的「应用客户端和分析」页面
• 选中你登录请求中client_id对应的应用客户端条目
• 找到「认证流程」配置板块，勾选ALLOW_CUSTOM_AUTH选项，不要仅保留默认的SRP、用户名密码认证流
• 保存配置后等待2分钟左右让配置全局生效

2. 给托管登录页请求显式指定自定义认证流 #

直接访问<cognito_domain>/login端点时，Cognito默认走标准用户名密码/SRP认证流，不会触发自定义挑战逻辑，必须在请求参数中显式声明使用自定义认证：

• 在登录URL中追加auth_flow=CUSTOM_AUTH参数，完整的合法请求格式示例：

<cognito_domain>/login?client_id=<对应客户端ID>&response_type=code&scope=openid&redirect_uri=<已配置的合法回调地址>&auth_flow=CUSTOM_AUTH

未携带auth_flow=CUSTOM_AUTH参数的请求，会完全跳过自定义认证相关的所有Lambda触发器，不会产生任何调用记录

3. 校验define-challenge触发器的返回结构合规性 #

如果前两步配置完成后仍无调用记录，检查define-challenge Lambda的响应结构是否符合Cognito的规范，结构非法会导致流程直接终止，不会触发后续逻辑：

• 首次进入认证流程时，event.request.session为空数组，此时必须返回如下结构，否则Cognito会直接中断认证流程：

// 首次触发define-challenge的合法返回示例
exports.handler = async (event) => {
  if (event.request.session.length === 0) {
    event.response.issueTokens = false;
    event.response.failAuthentication = false;
    event.response.challengeName = "CUSTOM_CHALLENGE";
  }
  // 挑战验证通过后的发token逻辑可保留你原有实现
  return event;
};

4. 边缘场景校验 #

如果以上配置都正确仍无法触发，检查以下容易忽略的配置项：

• 确认你访问的Cognito域名属于当前配置了Lambda触发器的用户池，避免跨账号、跨区域访问了其他用户池的托管端点
• 确认Lambda函数和Cognito用户池部署在同一AWS区域，跨区域绑定触发器会出现无日志的调用失败
• 确认Lambda资源策略中存在允许cognito-idp.amazonaws.com服务主体调用的规则，控制台自动配置权限时偶发跨区域权限遗漏问题

补充说明：如果Lambda已经触发但托管页没有显示验证输入框，是create-challenge返回的publicChallengeParameters不符合托管UI的解析规则导致，该问题不会造成Lambda无调用记录。

内容的提问来源于stack exchange，提问作者Sayon Roy Choudhury