AWS Cognito SAML属性映射问题：注册或登录仅其一可用

先解释第一个注册报错的原因 #

Cognito用户池默认把email设为必填属性，首次通过SAML身份提供商（这里是GSuite）登录注册时，Cognito需要从SAML响应里获取这个必填字段才能创建用户。如果没配置email的属性映射，Cognito拿不到这个值，自然就会抛出"Error in SAML response processing: Invalid user attributes: email: Attribute is required."的错误——这个你已经通过添加映射解决了，重点说第二次登录的问题。

第二次登录报错的核心原因 #

这个报错"Error in SAML response processing: Invalid user attributes: email: Attribute cannot be updated."本质是Cognito在后续登录时尝试用SAML响应的email更新用户池已存在的属性，但被规则阻止了，具体分几种常见情况：

• 用户池email属性被设为不可变：虽然你说应用客户端有邮箱写入权限，但客户端权限和用户池属性本身的可编辑性是两回事。如果在Cognito用户池的属性配置里，你把email标记成了不可变（Immutable），那不管什么渠道（包括SAML IDP）都没法更新这个属性，自然会报错。
• SAML映射策略是“每次登录都更新”：默认情况下，Cognito的SAML IDP属性映射会在用户每次登录时，用SAML响应里的属性覆盖用户池的对应属性。如果GSuite返回的email和用户池里存储的有差异（比如大小写、拼写，甚至只是Cognito存储时的格式问题），就会触发更新操作，而如果此时属性不可变或者有其他限制，就会报错。
• 手动修改过用户池的email属性：如果用户首次注册后，你手动在Cognito控制台修改过这个用户的email，那后续GSuite返回的原始email和修改后的不一致，Cognito尝试同步时就会触发更新冲突。

对应的解决方案 #

• 检查用户池属性的可编辑性：
  进入Cognito用户池 → 左侧菜单栏选「属性」 → 找到email属性，确认它的「可变」选项是开启的（默认是开启的，但如果之前误改了就会出问题）。
• 调整SAML IDP的属性映射策略：
  进入用户池 → 左侧「身份提供商」 → 选中你的GSuite SAML IDP → 编辑「属性映射」，找到email的映射项，把它设置为仅在用户创建时应用（不要每次登录都尝试更新）。这样后续登录时，Cognito只会验证email匹配，不会去更新它。
• 验证GSuite返回的SAML响应：
  用浏览器的SAML调试工具（比如SAML Tracer）抓一下GSuite返回的SAML响应，看看里面的email值和Cognito用户池里存储的用户email是不是完全一致（包括大小写，虽然理论上邮箱不区分大小写，但Cognito存储时会保留原始格式，差异可能触发更新）。
• 检查用户池的IDP更新规则：
  有些版本的Cognito控制台在身份提供商设置里，有全局的「是否允许IDP更新用户属性」选项，确保没有全局禁用这个权限，或者针对email做了特殊限制。

内容的提问来源于stack exchange，提问作者Adam Mills