如何将Firebase用户身份认证迁移至AWS Cognito？

我之前帮好几个项目完成过Firebase到Cognito的身份认证迁移，这个过程核心是处理密码哈希的兼容性，我给你一步步拆解清楚：

1. 先明确Firebase用户的核心数据字段 #

从Firebase导出的用户JSON里，你需要重点关注这些字段（导出时一定要勾选）：

• localId：用户唯一标识（可以作为Cognito的用户名）
• email：用户邮箱
• emailVerified：邮箱是否已验证
• passwordHash：密码的scrypt哈希值（base64编码）
• salt：哈希对应的盐值（base64编码）
• 可选字段：displayName、phoneNumber等用户属性

2. 导出Firebase用户数据 #

这个你已经提到了，再补个细节：

• 打开Firebase控制台 → 「认证」→「用户」→ 右上角点击「导出用户」
• 选择要导出的字段（至少包含上面的核心字段），下载JSON格式的导出文件

3. 关键：转换Firebase密码哈希为Cognito兼容格式 #

这是迁移的核心难点——Firebase用的scrypt参数和Cognito默认配置不一样，必须转换哈希格式才能让Cognito识别原有密码。

Firebase的scrypt参数（必须记下来） #

• 数据库密钥：在Firebase控制台「设置」→「服务帐户」→「数据库秘密」获取（这是敏感信息，绝对不能泄露）
• 成本因子（N）：10（对应2^10=1024）
• 内存成本（r）：14
• 并行度（p）：1

编写转换脚本 #

你可以用Node.js或Python写个简单脚本，批量转换每个用户的哈希值。这里给个Node.js的示例：

const crypto = require('crypto');

function convertFirebaseHash(firebaseHash, firebaseSalt, firebaseSecret) {
  // 解码Firebase的base64格式哈希、盐和密钥
  const hashBuffer = Buffer.from(firebaseHash, 'base64');
  const saltBuffer = Buffer.from(firebaseSalt, 'base64');
  const secretBuffer = Buffer.from(firebaseSecret, 'base64');

  // 按照Firebase的scrypt逻辑计算派生密钥
  const derivedKey = crypto.scryptSync(
    hashBuffer,
    Buffer.concat([saltBuffer, secretBuffer]),
    32,
    { N: 1 << 10, r: 14, p: 1 }
  );

  // 转换成Cognito要求的SCRYPT格式：{派生密钥}:{盐}:{N}:{r}:{p}
  return `${derivedKey.toString('base64')}:${saltBuffer.toString('base64')}:1024:14:1`;
}

// 示例用法
// const convertedHash = convertFirebaseHash(user.passwordHash, user.salt, "你的Firebase数据库密钥");

4. 配置Cognito用户池 #

创建用户池时，必须和Firebase的配置匹配，否则哈希验证会失败：

• 登录AWS控制台 → 打开Cognito → 创建新用户池
• 密码策略：设置和Firebase一致的密码规则（比如长度、字符要求）
• 用户属性：添加你需要的属性（比如邮箱、昵称，要和Firebase导出的字段对应）
• 高级安全设置：选择「密码哈希算法」为SCRYPT，并设置参数：
  • N（成本因子）：1024
  • r（内存成本）：14
  • p（并行度）：1
    这一步必须和Firebase的参数完全一致！

5. 批量导入用户到Cognito #

把转换后的用户数据整理成Cognito要求的JSON格式，每个用户的结构如下：

{
  "Username": "用户的localId或邮箱",
  "Password": "转换后的哈希字符串",
  "Attributes": [
    {
      "Name": "email",
      "Value": "user@example.com"
    },
    {
      "Name": "email_verified",
      "Value": "true"
    },
    {
      "Name": "name",
      "Value": "张三"
    }
  ]
}

然后用AWS CLI完成批量导入：

1. 创建导入任务：

   aws cognito-idp create-user-import-job --user-pool-id 你的用户池ID --job-name firebase-migration --cloud-watch-logs-role-arn 你的CloudWatch角色ARN
   

2. 把整理好的JSON文件上传到S3桶
3. 启动导入任务：

   aws cognito-idp start-user-import-job --user-pool-id 你的用户池ID --job-id 任务ID
   

导入完成后，去Cognito控制台查看任务状态，处理失败的用户（比如格式错误或哈希不匹配）。

6. 渐进式迁移（可选，更稳妥） #

如果用户量很大，或者不想一次性切换，可以用渐进式迁移方案：

• 暂时保留Firebase认证服务，在应用中添加登录逻辑：先尝试用Cognito登录，失败则用Firebase登录
• 当用户通过Firebase登录成功后，自动将用户数据同步到Cognito（可以直接用转换后的哈希，或者引导用户重置密码）
• 等大部分用户都迁移到Cognito后，再关闭Firebase认证

7. 验证迁移结果 #

• 找几个测试用户，用原有密码登录Cognito，确认登录成功
• 检查用户属性（比如邮箱验证状态、昵称）是否正确同步
• 测试Cognito的密码重置、邮箱验证等流程是否正常工作

内容的提问来源于stack exchange，提问作者safaiyeh