使用Cognito通过Facebook登录时重定向至带错误URL的问题排查

我来帮你拆解这个问题——这种情况我碰到过好几次，核心问题通常出在Facebook权限配置或者Cognito的属性映射环节，咱们一步步排查：

1. 先确认Facebook是否真的返回了email字段 #

虽然你已经在scope里添加了email，但Facebook可能因为隐私设置、应用审核状态或者测试用户配置的问题，没有实际返回email信息：

• 先手动测试Facebook Graph API：用你的测试用户获取的access token，调用GET /me?fields=email,name，看看返回结果里有没有email字段。
• 如果没有返回email，去Facebook开发者后台检查：
  • 登录产品的权限列表里，是否开启了email权限？
  • 如果是未上线的测试应用，确保你的测试用户账号本身填写了email，并且被添加到应用的测试用户列表中。
  • 登录弹窗是否真的展示了请求email权限的提示？有时候浏览器缓存或者Facebook配置延迟会导致scope不生效，你可以尝试清空浏览器缓存后重新测试。

2. 检查Cognito的属性映射配置 #

即使Facebook返回了email，Cognito可能没把它映射到用户池的必填email属性：

• 进入Cognito控制台，找到你的用户池 → 身份提供商 → 选择Facebook → 查看「属性映射」部分
• 确认是否将Facebook的email字段正确映射到Cognito用户池的email属性，并且映射类型设置为「必填」（因为你已经把email设为注册必填项，这一步必须匹配）

3. 验证Cognito应用客户端的OAuth配置 #

• 检查应用客户端的OAuth范围是否确实包含email，同时确认你使用的OAuth流（比如授权码流）在「允许的OAuth流」列表中被勾选。
• 虽然和当前属性错误关联不大，但也可以确认下回调URL是否配置正确，避免其他潜在的干扰。

4. 排查自定义Lambda触发器的干扰 #

如果你在Cognito中配置了「前置注册」或「前置认证」的Lambda函数，检查函数逻辑是否过滤或修改了email属性，导致Cognito无法获取到必填的email字段。

快速验证方案 #

你可以用Facebook开发者工具生成一个包含email权限的测试access token，然后调用Cognito的AdminInitiateAuth接口模拟登录流程，观察返回的用户属性中是否包含email，以此定位是Facebook端还是Cognito端的问题。

内容的提问来源于stack exchange，提问作者CodyBugstein