使用Cognito Hosted UI配置邮件MFA时登录报错问题咨询

你碰到的No MFA mechanism registered in the account报错，本质是参考的自定义登录页邮件MFA方案完全不兼容Cognito Hosted UI的原生认证流程，和Lambda触发器配置错误无关。
Hosted UI的认证流程是Cognito托管的，仅支持内置的SMS、TOTP两种MFA逻辑，不会主动响应自定义页面场景下的前端MFA调用逻辑，直接照搬自定义前端的方案必然会触发流程分支错误。

不需要修改Hosted UI交互逻辑，仅通过调整Cognito配置和Lambda触发器即可实现，全程支持自定义CSS修改页面样式：

• 第一步：调整User Pool基础MFA配置
  进入User Pool的MFA设置页，关闭原生MFA的强制启用选项，将MFA策略设置为「关闭」或者「可选MFA」，同时移除所有已配置的SMS、TOTP MFA相关配置，避免Hosted UI优先走内置MFA分支抛出报错。
• 第二步：调整Lambda触发器绑定逻辑
  弃用原教程中适配自定义前端的触发器逻辑，将你已经写好的SES发信、OTP校验逻辑，绑定到Cognito自定义认证流对应的三个触发器上：
  • Define Auth Challenge触发器：判断用户当前登录状态，如果未完成邮件OTP校验则持续抛出CUSTOM_CHALLENGE，校验通过则返回认证成功结果
  • Create Auth Challenge触发器：在这里触发SES发送邮件OTP的逻辑，生成的随机OTP存入当前认证会话中，不要存到用户永久属性里
  • Verify Auth Challenge Response触发器：比对用户输入的验证码和会话中存储的OTP是否一致，返回校验结果
    如果你需要注册后强制启用MFA，可以保留原教程里的Post Confirmation触发器逻辑，给用户添加custom:email_mfa_enabled=true的自定义属性，在Define Auth Challenge里读取该属性判断是否要发起OTP挑战即可。
• 第三步：调整App Client认证流配置
  找到Hosted UI对应的App Client设置，在「认证流」选项里勾选ALLOW_CUSTOM_AUTH，取消勾选ALLOW_SMS_MFA、ALLOW_SOFTWARE_TOKEN_MFA两个内置MFA相关的认证流选项，保存配置。
• 第四步：验证流程
  配置完成后走Hosted UI登录流程，Cognito检测到自定义认证挑战时，会自动渲染托管的验证码输入页面，用户输入邮件收到的OTP即可完成登录，该页面支持你通过自定义CSS调整样式，不需要修改任何前端交互逻辑。

如果不想改动已经写好的Lambda代码，可以搭一个轻量中间校验页：

• 用户访问业务站点时先跳转到中间页，完成账号密码校验、邮件OTP发送和校验
• 校验通过后，后端调用CognitoAdminInitiateAuth接口直接获取用户凭证，或者生成认证会话后跳转到Hosted UI完成后续授权流程
• 全程不需要修改Hosted UI本身的逻辑，中间页的样式可以完全自定义

• 自定义认证流的OTP有效期建议设置为3-5分钟，单会话内校验失败超过5次直接终止认证流程，避免暴力破解风险
• SES发信前要确保发信域名、发件人地址已经完成验证，新SES账号提前申请移出沙箱，否则会出现发信失败问题
• 不要在自定义认证流里混用内置MFA逻辑，否则会再次触发你之前碰到的MFA机制不存在的报错

内容的提问来源于stack exchange，提问作者Daniel