如何在AWS Cognito中实现支持邮箱和短信的用户/管理员无密码认证

问题1：注册时报UserLambdaValidationException，SES destination参数为null #

直接按以下步骤排查定位：

• 首先在CreateAuthChallenge Lambda函数入口打印完整的event对象到CloudWatch日志，确认取值路径是否正确：90%的该类报错都是因为字段路径写错，比如误写为event.userAttributes.email，正确的用户属性取值路径为event.request.userAttributes.email。
• 检查前端注册逻辑：调用Auth.signUp时，除了username参数外，必须显式把邮箱/手机号传入attributes字段，示例写法：Auth.signUp({ username: 邮箱输入值, password: 临时占位密码, attributes: { email: 邮箱输入值 } })，如果只传username不会自动同步到用户属性。
• 检查pre-signup触发器逻辑：确认你在配置autoVerifyEmail/autoVerifyPhone等逻辑时，没有意外修改、清空userAttributes中的邮箱/手机号字段。

问题2：判断登录渠道选择OTP发送方式 #

判断逻辑统一在CreateAuthChallenge触发器中实现，有两种可选方案：

• 正则识别方案：从event.request.userAttributes中取出用户的登录标识，用正则匹配判断类型：邮箱匹配规则为/^[^\s@]+@[^\s@]+\.[^\s@]+$/，手机号匹配规则为/^\+[1-9]\d{1,14}$/（符合Cognito要求的E.164格式），匹配到对应类型后分别调用SES发邮件、SNS发短信即可。
• 前端传参方案：前端调用signIn方法时，在clientMetadata中额外传入登录类型参数，比如clientMetadata: { loginType: 'email' }，后端直接取该参数判断发送渠道，避免正则误判问题。

问题3：管理员身份识别方案选型 #

个人项目优先选择新增isAdmin自定义属性的方案一，实现成本低、维护量小，完全满足需求：

• 方案优势：不需要额外搭建独立的认证体系，不用重复开发触发器、登录逻辑，整体维护成本降低50%以上。
• 实现步骤：
  1. 在Cognito用户池中新增Boolean类型的自定义属性custom:isAdmin，配置属性权限为仅管理员可编辑，禁止普通用户自行修改。
  2. 前端登录后从Cognito返回的ID Token中读取custom:isAdmin属性值，直接判断是否渲染管理员专属UI。
  3. 开发修改用户权限的后端Lambda接口，接口增加鉴权逻辑，仅custom:isAdmin为true的用户可调用，接口内部调用Cognito的adminUpdateUserAttributes方法修改对应用户的custom:isAdmin属性即可。
  4. 权限校验兜底：敏感操作的后端接口不要直接读取前端传的Token属性，而是调用Cognito getUser接口实时查询用户属性，避免Token篡改风险。
• 只有当你的项目属于企业级应用，要求管理员和普通用户完全隔离、权限边界极强时，再选择独立管理员认证体系的方案二。

内容的提问来源于stack exchange，提问作者anmol gomra