咨询：AWS Cognito用户不存在时预认证等Lambda钩子未触发问题

我之前也踩过这个坑——AWS Cognito的默认逻辑确实如此：当尝试登录的账号在用户池中不存在时，会直接返回UserNotFoundException错误，不会触发Pre Authentication或Define Auth Challenge这类认证流程的Lambda钩子，因为这些钩子本质是为已存在用户的认证环节设计的。

下面是几个可行的解决思路，你可以根据业务需求选择：

1. 前置检查用户是否存在（最简单直接） #

在用户发起登录请求的前端或后端服务里，先调用Cognito的AdminGetUser API检查目标用户是否存在：

• 如果用户存在：正常走Cognito登录流程，此时Pre Auth/Define Auth Challenge钩子会正常触发
• 如果用户不存在：直接执行你的自定义中间件逻辑（比如记录日志、引导注册、自动创建用户等），再根据业务需求决定后续操作

注意：执行AdminGetUser的角色需要拥有cognito-idp:AdminGetUser权限，记得在IAM中配置最小权限。

2. 自定义认证流程+Lambda自动创建用户 #

如果希望用户首次登录（账号不存在）时也能无缝触发认证前置逻辑，可以配置Cognito的自定义认证流程：

• 第一步：在用户池的「认证流程」设置里，启用ALLOW_CUSTOM_AUTH类型
• 第二步：编写Define Auth Challenge Lambda钩子，通过event.request.userNotFound字段识别用户是否不存在
• 第三步：如果用户不存在，在Lambda里调用AdminCreateUser API自动创建该用户，再继续执行自定义认证逻辑，后续的Pre Auth等钩子就能正常触发

示例代码片段（Define Auth Challenge核心逻辑）：

import boto3

cognito = boto3.client('cognito-idp')

def lambda_handler(event, context):
    if event['request']['userNotFound']:
        # 自动创建用户（可根据业务调整属性）
        cognito.admin_create_user(
            UserPoolId=event['userPoolId'],
            Username=event['userName'],
            TemporaryPassword='Temp@Pass123',
            UserAttributes=[
                {'Name': 'email', 'Value': event['request']['userAttributes']['email']}
            ]
        )
        # 初始化自定义认证挑战（比如发送验证码）
        event['response']['challengeName'] = 'CUSTOM_CHALLENGE'
        event['response']['issueTokens'] = False
        event['response']['failAuthentication'] = False
    else:
        # 已存在用户的正常认证逻辑
        event['response']['challengeName'] = 'PASSWORD_VERIFIER'
        event['response']['issueTokens'] = False
        event['response']['failAuthentication'] = False
    return event

3. 客户端捕获错误后触发逻辑 #

如果不想改动后端或Cognito配置，可以在客户端捕获Cognito返回的UserNotFoundException错误，当捕获到该错误时，直接执行你的自定义中间件操作，比如弹出注册提示、记录用户尝试登录的行为等。

关键注意事项 #

• 认证流程类Lambda钩子的触发前提是用户池中有该用户，这是Cognito的核心设计，必须通过前置检查、自定义流程或客户端错误处理绕开这个限制
• 使用AdminCreateUser或AdminGetUser时，务必遵循IAM最小权限原则，避免给Lambda过度授权
• 自定义认证流程需要同步调整用户池客户端配置，确保客户端允许使用自定义认证流程

内容的提问来源于stack exchange，提问作者David Alsh