Google登录时Cognito用户迁移触发器未触发问题咨询

我之前帮不少开发者处理过类似的Cognito用户迁移问题，你遇到的核心卡点在于：Cognito自带的「迁移用户触发器」只在用户名/密码认证时触发，第三方OAuth（比如Google）登录时根本不会调用这个触发器，所以默认情况下，Google登录的用户会直接被Cognito创建为新用户，不会触发你期望的迁移流程。

结合你的需求（Google邮箱匹配现有目录用户时执行迁移），我整理了一套可行的解决方案：

1. 用「预注册触发器（Pre Sign-up Trigger）」拦截第三方登录请求 #

这是实现第三方用户迁移的核心，预注册触发器会在Cognito创建新用户之前触发，刚好适合我们在此时检查现有目录、同步用户数据。

具体逻辑步骤 #

• 从Google返回的用户属性中提取email（需要确保你在Cognito的Google身份提供商配置中，已经请求了email和email_verified的权限）
• 调用你的现有目录API/数据库，查询该邮箱是否存在用户
• 如果存在：
  • 同步现有用户的所有需要迁移的属性（比如姓名、手机号、自定义角色等）到Cognito用户属性中
  • 设置autoConfirmUser: true和autoVerifyEmail: true（因为Google已经验证过邮箱，无需二次验证）
• 如果不存在，就按Cognito默认流程创建新用户

示例Lambda代码（预注册触发器） #

exports.handler = async (event) => {
  const { userAttributes, userPoolId } = event.request;
  const userEmail = userAttributes.email;

  // 调用你的现有目录查询用户，替换为实际的查询逻辑
  const existingUser = await getExistingUserFromDirectory(userEmail);
  
  if (existingUser) {
    // 同步现有用户属性到Cognito
    event.response.userAttributes = {
      ...event.response.userAttributes,
      name: existingUser.fullName,
      phone_number: existingUser.phone,
      'custom:department': existingUser.department // 自定义属性示例
    };
    // 自动确认并验证用户
    event.response.autoConfirmUser = true;
    event.response.autoVerifyEmail = true;
  }

  return event;
};

// 模拟现有目录查询函数
async function getExistingUserFromDirectory(email) {
  // 这里替换为你实际的目录查询逻辑，比如内部API、数据库查询
  const apiResponse = await fetch(`your-internal-directory-api/users?email=${email}`, {
    method: 'GET',
    headers: { 'Authorization': 'Bearer YOUR_API_AUTH_TOKEN' }
  });
  return apiResponse.ok ? await apiResponse.json() : null;
}

2. 处理已迁移用户的身份关联（可选） #

如果部分用户已经通过用户名密码登录完成了迁移，现在用Google登录（邮箱匹配），Cognito默认会创建新用户。这种情况可以在预注册触发器中添加逻辑，自动将第三方身份链接到已存在的Cognito用户：

补充代码逻辑 #

const AWS = require('aws-sdk');
const cognito = new AWS.CognitoIdentityServiceProvider();

// 在预注册触发器中添加这段逻辑，放在查询现有目录之前
// 查询Cognito用户池是否已有该邮箱的用户
const listUsersParams = {
  UserPoolId: userPoolId,
  Filter: `email = "${userEmail}"`,
  Limit: 1
};
const cognitoUsers = await cognito.listUsers(listUsersParams).promise();

if (cognitoUsers.Users.length > 0) {
  const existingCognitoUser = cognitoUsers.Users[0];
  // 调用AdminLinkProviderForUser API，将Google身份链接到现有用户
  await cognito.adminLinkProviderForUser({
    UserPoolId: userPoolId,
    DestinationUser: {
      ProviderName: 'Cognito',
      ProviderAttributeValue: existingCognitoUser.Username
    },
    SourceUser: {
      ProviderName: event.request.userAttributes.identities[0].providerName,
      ProviderAttributeValue: event.request.userAttributes.identities[0].userId
    }
  }).promise();
  
  // 抛出错误阻止创建新用户，提示用户用现有账号登录
  throw new Error('该邮箱已关联现有账号，请使用原用户名密码登录后绑定Google身份');
}

3. 关键注意事项 #

• 确保Lambda函数有足够的权限：访问现有目录的权限，以及Cognito的listUsers、adminLinkProviderForUser等权限（需要在IAM角色中配置）
• Google身份提供商配置：必须勾选email和email_verified的权限，否则Cognito无法获取到用户邮箱信息
• 属性同步：根据你的业务需求，同步必要的用户属性，不要遗漏自定义属性（需要在Cognito用户池中提前创建这些自定义属性）

内容的提问来源于stack exchange，提问作者Shubham Mundra