AWS Cognito忘记密码后登录方法及状态异常问题咨询
这确实是AWS Cognito默认流程里容易踩的坑，我之前帮不少团队处理过这类问题，下面分场景给你具体的解决思路和实操方案：
场景1：用户点击忘记密码后无法访问邮箱/手机号，导致无法登录
这种情况只能通过管理员介入来恢复用户的登录权限，有两种常用方式：
通过AWS控制台或CLI直接重置用户密码
管理员可以登录AWS控制台，进入对应的Cognito用户池，找到状态为FORCE_CHANGE_PASSWORD的用户，选择「重置密码」选项。操作完成后，用户会收到包含临时密码的通知（邮箱/短信），用临时密码登录后会被强制设置新密码，状态也会自动恢复为正常。
如果习惯用CLI操作，执行以下命令即可：aws cognito-idp admin-reset-user-password --user-pool-id <你的用户池ID> --username <目标用户名>配置自定义认证触发器跳过验证
如果你的系统有内部的身份验证渠道（比如用户可以通过企业内部SSO、或者验证注册时的预留信息），可以给Cognito配置CustomAuth触发器。当检测到用户处于FORCE_CHANGE_PASSWORD状态时，触发自定义逻辑验证用户身份，验证通过后直接允许用户设置新密码，无需依赖原邮箱/手机号。
场景2：他人冒用邮箱调用忘记密码功能，致使原用户无法登录
这个问题核心是要增加忘记密码流程的门槛，同时做好监控和防护：
设置忘记密码请求速率限制
进入Cognito用户池的「安全配置」页面，找到「忘记密码请求的速率限制」选项，设置合理的阈值（比如1小时内最多3次请求）。这样恶意用户无法频繁调用ForgotPasswordAPI锁定原用户。添加前置验证步骤
在你的前端忘记密码页面，先要求用户输入额外的验证信息（比如注册时填写的安全问题答案、身份证后四位、或者绑定的其他辅助联系方式），验证通过后再触发Cognito的忘记密码流程。也可以通过Cognito的PreSignUp或者自定义Lambda函数来实现这个前置校验逻辑。监控异常请求并告警
借助CloudWatch监控Cognito的ForgotPasswordAPI调用日志，创建告警规则：当某个用户的忘记密码请求次数在1小时内超过设定阈值时，自动发送告警通知给管理员，及时介入处理（比如重置用户状态、联系用户确认情况）。
长期优化建议
为了避免这类问题反复出现，还可以做这些优化：
强制启用多因素认证（MFA）
让用户开启MFA（比如短信验证码、TOTP令牌），即使密码被恶意重置，攻击者也需要MFA验证码才能登录，大大降低账户被锁定的风险。优化前端提示
在你的忘记密码按钮旁增加醒目的提示：「点击后将无法使用原密码登录，请确保能访问你的注册邮箱/手机号」，提前让用户知晓操作风险，减少误操作。自定义状态提示
通过Cognito的PreAuthentication触发器，当检测到用户处于FORCE_CHANGE_PASSWORD状态时，返回更友好的错误提示，比如「你的账户需要重置密码，若无法接收验证码，请联系管理员」，引导用户正确处理。
内容的提问来源于stack exchange，提问作者Alok
