Amplify+Cognito环境下二年级学生账号密码安全展示方案咨询

针对你提到的二年级学生无邮箱/手机号、需教师协助获取密码的场景，以下是兼顾安全与需求的实操方案：

1. 临时加密存储+自动清理，杜绝明文留存 #

• 创建学生账号时，绝对不要明文存密码：用创建该学生的教师Cognito sub（用户唯一标识）作为密钥，通过AES-GCM算法加密密码，同时生成随机初始化向量（IV），把密文+IV一起存到DynamoDB的单独表（或现有学生表的加密字段）。
• 给这条加密记录加TTL属性，设置比如24小时自动过期；同时在Lambda里加逻辑：教师查看密码后，立即删除该记录，或者把TTL设为当前时间+1分钟，确保敏感数据不会长期留存。

2. 加密传输+前端临时展示，减少暴露风险 #

• 教师请求查看密码时，走受Cognito授权保护的API Gateway：
  1. Lambda先校验权限：确认该教师是对应学生的创建者（查DynamoDB里的师生关联关系）。
  2. 取出密文和IV，用教师的sub解密出明文密码。
  3. 通过HTTPS（API Gateway默认支持）传去前端，前端收到后只临时展示（比如5秒后自动清空页面文本，同时销毁内存里的密码变量），绝不缓存。

3. 替代方案：绕开静态密码展示（更安全） #

既然学生容易忘密码，完全可以不用展示密码，换两种更安全的方式：

• 临时密码一键生成：教师在仪表盘点重置，Lambda调用Cognito的adminSetUserPassword生成随机临时密码，用上述加密方式临时存储，前端展示后自动清理，学生用这个临时密码登录即可。
• 教师代登（一键登录）：Lambda调用Cognito生成临时会话令牌（比如用adminInitiateAuth获取短期Token），前端用这个Token直接自动登录学生账号，全程不用碰密码。

4. 额外安全加固 #

• 给存加密密码的DynamoDB表开启服务器端加密（SSE），用AWS KMS管理密钥，就算数据泄露，密文也无法轻易解密。
• API Gateway配置WAF，限制异常请求，防止暴力刷密码接口。
• 把教师查看/重置密码的操作日志存储到CloudWatch，方便审计追踪。

内容的提问来源于stack exchange，提问作者DogParty