Cognito用户池CUSTOM_AUTH流程无NewDeviceMetadata问题咨询

我之前在实现Cognito自定义MFA+设备记住功能时也碰到过几乎一模一样的问题，给你几个实际可行的排查和解决方向：

1. 先确认设备已被正确标记为「已记住」 #

首先得打个基础：你之前完成现有设备认证后，是否调用了UpdateDeviceStatus API将设备状态设置为REMEMBERED？如果只是走完认证流程但没更新这个状态，Cognito根本不会把这个设备纳入「可跳过MFA」的白名单。

你可以通过ListDevices API查询用户的设备列表，确认目标设备的deviceStatus确实是REMEMBERED，并且deviceKey字段存在且有效。

2. SRP_A请求必须主动传递缓存的DEVICE_KEY #

Cognito的CUSTOM_AUTH流程和默认的USER_PASSWORD_AUTH不同——它不会自动去匹配用户的已记住设备，哪怕你之前记住过这个设备。如果客户端缓存了该用户的deviceKey，必须在初始的InitiateAuth（SRP_A步骤）请求中，把DEVICE_KEY作为参数传入AuthParameters里，否则Cognito完全不知道你要匹配哪个设备，自然返回NewDeviceMetadata: null。

示例代码片段（Node.js为例）：

const initiateAuthParams = {
  AuthFlow: 'CUSTOM_AUTH',
  ClientId: '你的用户池客户端ID',
  AuthParameters: {
    USERNAME: 'user@example.com',
    SRP_A: '生成的SRP_A值',
    DEVICE_KEY: '客户端缓存的deviceKey' // 关键！必须传这个才能触发设备识别
  }
};

3. 自定义触发器中手动实现设备匹配逻辑 #

如果客户端没有缓存deviceKey（比如用户换了浏览器但还是同一物理设备），可以在DefineAuthChallenge或CreateAuthChallenge的Lambda触发器里，手动做设备匹配：

• 在触发器中调用cognitoidentityserviceprovider.listDevices()接口，获取该用户所有已记住的设备列表。
• 对比当前请求的上下文信息（比如event.request.userAgent、event.request.clientMetadata里的自定义设备指纹，甚至IP地址）和设备列表中的deviceAttributes，找到匹配的设备。
• 如果匹配成功，直接在触发器中设置event.response.issueTokens = true，跳过MFA验证，同时把匹配到的deviceKey返回给客户端缓存。

4. 检查用户池客户端的核心配置 #

别忽略基础配置：

• 确认用户池客户端的Enable SRP (Secure Remote Password) protocol已开启，CUSTOM_AUTH结合SRP流程必须依赖这个配置。
• 检查用户池的「设备设置」：确保「设备跟踪」已启用，「设备记住」选项打开，「设备验证」设置为「可选」或「必填」（根据你的业务需求）。

5. 理解NewDeviceMetadata为空的本质 #

最后帮你理清逻辑：在CUSTOM_AUTH流程中，NewDeviceMetadata只有两种情况会返回值：

1. 用户首次登录该设备，Cognito自动生成新的deviceKey；
2. 客户端传入了DEVICE_KEY但验证失败（比如设备已被用户忘记）。

如果客户端完全不传DEVICE_KEY，Cognito在CUSTOM_AUTH模式下不会自动去匹配已记住的设备，所以NewDeviceMetadata为null是预期行为——但这也意味着你失去了跳过MFA的依据。所以核心解决思路就是：必须让Cognito知道当前请求对应哪个已记住的设备，要么客户端主动传缓存的deviceKey，要么在触发器里手动完成设备匹配。

内容的提问来源于stack exchange，提问作者Space Case