Python使用AWS Cognito实现用户修改邮箱前触发邮件验证的方案咨询

优先推荐：Cognito原生实现方案（无需自行开发邮件发送逻辑） #

这是比自行实现邮件验证更优的方案，完全依托Cognito现有能力，开发成本极低：

• 首先完成Cognito用户池配置：进入用户池的「属性」设置页，开启电子邮件地址验证，同时找到「属性修改需要验证」配置项，勾选电子邮件属性。开启后所有邮箱属性的修改操作都会自动触发验证流程，未验证的修改不会正式生效。
• 用户发起修改绑定邮箱请求时，直接调用update_user_attributes()接口传入新的email属性值即可。此时Cognito会自动执行两个操作：一是向新邮箱地址发送验证邮件（邮件模板可在用户池「消息自定义」板块自行调整）；二是将用户的email属性暂存为新值，同时强制将email_verified属性设为false，原有已验证的旧邮箱在验证完成前依然为有效身份凭证。
• 用户收到验证邮件后，输入验证码或者点击验证链接，调用verify_user_attribute()接口，传入AttributeName: 'email'和收到的验证码参数即可完成验证。验证通过后Cognito会自动将email_verified设置为true，新邮箱正式生效。

注意：业务逻辑中判断用户邮箱有效性时，需要同时校验email和email_verified两个属性，仅当email_verified为true时，对应的邮箱才是经过所有权确认的可用邮箱。

自定义实现方案（适用于有特殊业务需求的场景） #

如果你的业务需要在邮箱修改流程中加入额外规则（比如校验新邮箱是否已被其他账号绑定、限制邮箱修改频率、自定义验证跳转逻辑等），可以使用你原本的思路：

• 提前在Cognito用户池中新增一个自定义用户属性，比如custom:pending_email，专门用于存储用户待验证的新邮箱地址。
• 用户发起修改邮箱请求时，服务端先完成业务规则校验，再向新邮箱发送包含自定义验证token的邮件，同时将待验证的新邮箱写入用户的custom:pending_email属性。
• 用户点击验证链接完成校验后，服务端确认token有效，再调用admin_update_user_attributes()接口，将用户的email属性更新为custom:pending_email存储的地址，同时手动将email_verified属性设为true即可。

方案选择建议 #

• 无特殊定制需求的情况下优先选择原生方案，不需要自行维护邮件发送、token生成校验逻辑，符合Cognito的设计逻辑，出错概率低。
• 有强业务定制需求时再选择自定义方案，灵活性更高，可适配各类复杂规则。

内容的提问来源于stack exchange，提问作者user12314098