Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

注册并确认用户账户

可通过以下任一方法将用户账户添加到您的用户池中：

自行注册的用户需要获得确认才可登录。导入和创建的用户已经过确认，但他们必须在首次登录时创建自己的密码。以下部分将介绍确认过程以及电子邮件和电话验证。

用户账户确认概览

下图阐明了确认过程：

用户账户可以处于以下任一状态：

在注册时验证联系人信息

当新用户注册您的应用程序时，您可能希望他们提供至少一种联系方式。例如，利用用户的联系人信息，您可以：

对于像这样的使用案例，将消息发送到经过验证的目的地非常重要。否则，您可能会将消息发送到错误键入的无效电子邮件地址或电话号码。或者更糟糕的是，您可能会将敏感信息发送给冒充您的用户的坏人。

为了帮助确保您仅将消息发送给正确的人员，请配置您的 Amazon Cognito 用户池以使用户在注册时必须提供以下内容：

通过提供验证码，用户可以证明他们有权访问收到该代码的邮箱或手机。在用户提供该代码后，Amazon Cognito 将通过以下方式更新用户池中的用户相关信息：

要查看此信息，您可以使用 Amazon Cognito 控制台。或者，您可以使用 AdminGetUser API 操作、带 admin-get-user 的 Amazon CLI 命令或某个 Amazon 开发工具包中的相应操作。

如果用户具有经验证的联系方式，Amazon Cognito 会在用户请求重置密码时自动向其发送消息。

配置您的用户池以要求电子邮件或手机验证

验证用户的电子邮件地址和电话号码时，确保可以联系到用户。在 Amazon Web Services Management Console中完成以下步骤以配置用户群体，要求用户确认其电子邮件地址或电话号码。

Original console

配置用户池

1. 登录Amazon Web Services Management Console并打开 Amazon Cognito 控制台 (https://console.amazonaws.cn/cognito)。如果出现提示，请输入 Amazon 凭证。

2. 选择 Manage User Pools（管理用户池）。

3. 在 Your User Pools（您的用户池）页面上，选择要配置的用户池。

4. 在左侧导航菜单中，选择 MFA and verifications（MFA 和验证）。

5. 在 Which attributes do you want to verify?（您要验证哪些属性？）下，选择以下选项之一：

   

   Email（电子邮件）

   如果您选择此选项，Amazon Cognito 将在用户注册时通过电子邮件发送验证码。如果您通常通过电子邮件与用户通信，请选择此选项。例如，如果您要发送账单、订单摘要或特别优惠，则将需要使用经过验证的电子邮件地址。

   Phone number（电话号码）

   如果您选择此选项，Amazon Cognito 将在用户注册时通过 SMS 消息发送验证码。如果您通常通过 SMS 消息与用户通信，请选择此选项。例如，如果您要发送交付通知、约会确认或提醒，则将需要使用经过验证的电话号码。

   Email or phone number（电子邮件或电话号码）

   如果您不要求所有用户都拥有相同的经验证的联系方式，请选择此选项。在这种情况下，您的应用程序中的注册页面可能会要求用户仅验证其首选联系方式。当 Amazon Cognito 发送验证码时，会将该代码发送到来自您应用程序的 SignUp 请求中提供的联系方式。如果用户同时提供了电子邮件地址和电话号码，并且您的应用程序在 SignUp 请求中提供了这两种联系方式，Amazon Cognito 将仅向电话号码发送验证码。

   如果您要求用户同时验证电子邮件地址和电话号码，则选择此选项。Amazon Cognito 将在用户注册时验证一种联系方式，而且您的应用程序必须在用户登录后验证另一种联系方式。有关更多信息，请参阅在您要求用户确认电子邮件地址和电话号码的情况下。

   None（无）

   如果您选择此选项，则 Amazon Cognito 不会在用户注册时发送验证码。如果您要使用自定义身份验证流程验证至少一种联系方式，而不使用来自 Amazon Cognito 的验证码，请选择此选项。例如，您可以使用一个预注册 Lambda 触发器，该触发器将自动验证属于特定域的电子邮件地址。

   如果您不验证用户的联系人信息，用户可能无法使用您的应用程序。请记住，用户需要经验证的联系人信息才能：

   • Reset their passwords（重置密码）– 当用户在您的应用程序中选择调用 ForgotPassword API 操作的选项时，Amazon Cognito 会将临时密码发送到用户的电子邮件地址或电话号码。Amazon Cognito 仅在用户具有至少一个经验证的联系方式时发送此密码。

   • Sign in by using an email address or phone number as an alias（通过使用电子邮箱地址或电话号码作为别名进行登录）– 如果您将用户池配置为允许这些别名，则用户只能在别名经过验证后使用别名进行登录。有关更多信息，请参阅自定义登录属性。

6. 选择 Save changes（保存更改）。

New console

配置用户池

1. 导航到 Amazon Cognito 控制台。如果出现提示，请输入 Amazon 凭证。

2. 从导航窗格中选择 User Pools（用户池）。从列表中选择一个现有用户池，或创建一个用户池。

3. 选择 Sign-up experience（登录体验）选项卡，然后找到 Attribute verification and user account confirmation（属性验证和用户账户确认）。选择 Edit（编辑）。

4. 选择是否激活 Cognito-assisted verification and confirmation（Cognito 辅助验证和确认），从而使 Amazon Cognito 向用户注册或创建用户配置文件时选择的用户联系人属性发送消息。Amazon Cognito 为用户发送提供代码或链接的消息，在用户确认收到该代码或链接后，系统将验证其属性并确认用户配置文件以进行登录。

   注意

   您还可以禁用 Cognito-assisted verification and confirmation（Cognito 辅助验证和确认）并使用经过身份验证的 API 操作或 Lambda 触发器验证属性并确认用户。

   如果您选择此选项，则 Amazon Cognito 不会在用户注册时发送验证码。如果您要使用自定义身份验证流程验证至少一种联系方式，而不使用来自 Amazon Cognito 的验证码，请选择此选项。例如，您可以使用一个预注册 Lambda 触发器，该触发器将自动验证属于特定域的电子邮件地址。

   如果您不验证用户的联系人信息，用户可能无法使用您的应用程序。请记住，用户需要经验证的联系人信息才能：

   • Reset their passwords（重置密码）– 当用户在您的应用程序中选择调用 ForgotPassword API 操作的选项时，Amazon Cognito 会将临时密码发送到用户的电子邮件地址或电话号码。Amazon Cognito 仅在用户具有至少一个经验证的联系方式时发送此密码。

   • Sign in by using an email address or phone number as an alias（通过使用电子邮箱地址或电话号码作为别名进行登录）– 如果您将用户池配置为允许这些别名，则用户只能在别名经过验证后使用别名进行登录。有关更多信息，请参阅自定义登录属性。

5. 选择您的 Attributes to verify（要验证的属性）：

   发送 SMS 消息，验证电话号码

   Amazon Cognito 将在用户注册时通过 SMS 消息发送验证码。如果您通常通过 SMS 消息与用户通信，请选择此选项。例如，如果您要发送交付通知、约会确认或提醒，则将需要使用经过验证的电话号码。确认账户时，用户电话号码将成为已验证属性；您必须采取其它操作来验证用户电子邮件地址并与其进行通信。

   发送电子邮件消息，验证电子邮件地址

   Amazon Cognito 将在用户注册时通过电子邮件发送验证码。如果您通常通过电子邮件与用户通信，请选择此选项。例如，如果您要发送账单、订单摘要或特别优惠，则将需要使用经过验证的电子邮件地址。确认账户时，用户电子邮件地址将成为已验证属性；您必须采取其它操作来验证用户电话号码并与其进行通信。

   如果电话号码可用，则发送 SMS 消息，否则发送电子邮件

   如果您不要求所有用户都拥有相同的经验证的联系方式，请选择此选项。在这种情况下，您的应用程序中的注册页面可能会要求用户仅验证其首选联系方式。当 Amazon Cognito 发送验证码时，会将该代码发送到来自您应用程序的 SignUp 请求中提供的联系方式。如果用户同时提供了电子邮件地址和电话号码，并且您的应用程序在 SignUp 请求中提供了这两种联系方式，Amazon Cognito 将仅向电话号码发送验证码。

   如果您要求用户同时验证电子邮件地址和电话号码，则选择此选项。Amazon Cognito 将在用户注册时验证一种联系方式，而且您的应用程序必须在用户登录后验证另一种联系方式。有关更多信息，请参阅在您要求用户确认电子邮件地址和电话号码的情况下。

6. 选择 Save changes（保存更改）。

使用电子邮件或电话验证的身份验证流程

如果您的用户池要求用户验证其联系人信息，则当用户注册时，您的应用程序必须促进以下流程：

在您要求用户确认电子邮件地址和电话号码的情况下

Amazon Cognito 在用户注册时仅验证一种联系方式。如果 Amazon Cognito 必须在验证电子邮件地址或电话号码之间进行选择，则会选择通过 SMS 消息发送验证码来验证电话号码。例如，如果您将用户池配置为允许用户验证电子邮件地址或电话号码，并且您的应用程序在注册时提供了这两个属性，则 Amazon Cognito 将仅验证电话号码。在用户验证其电话号码后，Amazon Cognito 会将用户的状态设置为 CONFIRMED，并允许用户登录您的应用程序。

在用户登录后，您的应用程序会提供相应选项来验证在注册期间未验证的联系方式。为了验证第二种联系方式，您的应用程序将调用 VerifyUserAttribute API 操作。请注意，此操作需要 AccessToken 参数，而 Amazon Cognito 只为经过身份验证的用户提供访问令牌。因此，您只能在用户登录后验证第二种联系方式。

如果您要求用户同时验证电子邮件地址和电话号码，请执行以下操作：

允许用户在您的应用程序中注册但以管理员身份进行确认

计算密钥哈希值

作为最佳实践，请将客户端密钥分配给您的机密应用程序客户端。当您向应用程序客户端分配客户端密钥时，您的 Amazon Cognito 用户群体 API 请求必须包括一个哈希值，用于包含请求正文中的客户端密钥。为了验证您对以下列表中 API 操作的客户端密钥的了解，请将客户端密钥与应用程序客户端 ID 和用户的用户名连接起来，然后对该字符串进行 base64 编码。

以下 Amazon Cognito 用户群体 API 接受 SecretHash 参数中的客户端密钥哈希值。

此外，以下 API 接受 SECRET_HASH 参数中的客户端密钥哈希值，这可以是在身份验证参数中或在质询响应中。

密钥哈希值是 Base 64 编码的加密哈希消息身份验证代码（HMAC，Hash Message Authentication Code），使用用户群体客户端的私有密钥、用户名以及消息中的客户端 ID 进行计算。以下伪代码显示如何计算此值。在此伪代码中，+ 表示串联，HMAC_SHA256 代表使用 HmacSHA256 生成 HMAC 值的函数，Base64 代表生成哈希输出的 Base-64 编码版本的函数。

Base64 ( HMAC_SHA256 ( "Client Secret Key", "Username" + "Client Id" ) )

有关如何计算和使用 SecretHash 参数的详细概述，请参阅 Amazon 知识中心内的如何解决 Amazon Cognito 用户群体 API 中的“无法验证客户端 <client-id> 的密钥哈希”错误？

您可以在服务器端应用程序代码中使用以下代码示例：

Java

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
 
public static String calculateSecretHash(String userPoolClientId, String userPoolClientSecret, String userName) {
    final String HMAC_SHA256_ALGORITHM = "HmacSHA256";
    
    SecretKeySpec signingKey = new SecretKeySpec(
            userPoolClientSecret.getBytes(StandardCharsets.UTF_8),
            HMAC_SHA256_ALGORITHM);
    try {
        Mac mac = Mac.getInstance(HMAC_SHA256_ALGORITHM);
        mac.init(signingKey);
        mac.update(userName.getBytes(StandardCharsets.UTF_8));
        byte[] rawHmac = mac.doFinal(userPoolClientId.getBytes(StandardCharsets.UTF_8));
        return Base64.getEncoder().encodeToString(rawHmac);
    } catch (Exception e) {
        throw new RuntimeException("Error while calculating ");
    }
}

Python

import sys
import hmac, hashlib, base64 
username = sys.argv[1] 
app_client_id = sys.argv[2] 
key = sys.argv[3] 
message = bytes(sys.argv[1]+sys.argv[2],'utf-8') 
key = bytes(sys.argv[3],'utf-8') 
secret_hash = base64.b64encode(hmac.new(key, message, digestmod=hashlib.sha256).digest()).decode() 
print("SECRET HASH:",secret_hash)

无需验证电子邮件或电话号码即可确认用户账户

预注册 Lambda 触发器可用于在注册时自动确认用户账户，而无需提供确认码或者验证电子邮件或电话号码。通过此方法进行确认的用户可立即登录，而无需接收代码。

您还可通过此触发器将用户的电子邮件或电话号码标记为已验证。

如果您不要求用户在注册时接收并输入确认码，也不在预注册 Lambda 触发器中自动验证电子邮件和电话号码，则您将承担对于该用户账户不具备经验证的电子邮件地址或电话号码的风险。用户可以稍后验证电子邮件地址或电话号码。但是，如果用户忘记自己的密码且没有经验证的电子邮件地址或电话号码，则用户将被锁定而无法使用账户，因为忘记密码流程需要经验证的电子邮件或电话号码以便向用户发送验证码。

当用户更改其电子邮件或电话号码时应进行验证

当用户在应用程序中更新其电子邮件地址或电话号码时，如果您将用户群体配置为自动验证该属性，Amazon Cognito 会立即向用户发送带有验证码的消息。然后，用户必须将验证消息中的代码提供给您的应用程序。然后，您的应用程序在 VerifyUserAttribute API 请求中提交代码，以完成对新属性值的验证。

如果用户群体不要求用户验证更新的电子邮件地址或电话号码，Amazon Cognito 会立即更改更新的 email 或 phone_number 属性的值，并将该属性标记为未验证。您的用户无法使用未经验证的电子邮件或电话号码登录。他们必须先完成对更新值的验证，然后才能将该属性用作登录别名。

如果您的用户群体要求用户验证更新的电子邮件地址或电话号码，则 Amazon Cognito 会将属性保留为已验证状态并设置为其原始值，直到您的用户验证新属性值为止。如果属性是登录的别名，您的用户可以使用原始属性值登录，直到验证过程将属性更改为新值。有关如何配置用户群体以要求用户验证更新的属性的更多信息，请参阅配置电子邮件或电话验证。

您可以使用自定义消息 Lambda 触发器自定义验证消息。有关更多信息，请参阅自定义消息 Lambda 触发器。当用户的电子邮件地址或电话号码未经验证时，您的应用程序应通知用户必须验证该属性，并为用户提供一个按钮或链接以验证其新的电子邮件地址或电话号码。

针对由管理员或开发人员创建的用户账户的确认和验证过程

由管理员或开发人员创建的用户账户已经处于已确认状态，所以用户无需输入确认代码。Amazon Cognito 服务向这些用户发送的邀请消息包含用户名和临时密码。用户需要在登录前更改密码。有关更多信息，请参阅自定义电子邮件和 SMS 消息中的 以管理员身份创建用户账户和使用 Lambda 触发器自定义用户池工作流中的自定义消息触发器。

针对导入的用户账户的确认和验证过程

使用 Amazon Web Services Management Console、CLI 或 API 中的用户导入功能创建的用户账户（请参阅通过 CSV 文件将用户导入用户池中）已处于已确认状态，因此用户无需输入确认代码。没有发送邀请消息。但是，导入的用户账户要求用户首先调用 ForgotPassword API 来请求代码，然后通过调用 ConfirmForgotPassword API 来使用发送的代码创建密码，之后方可登录。有关更多信息，请参阅要求导入的用户重置密码。

导入用户账户时，用户的电子邮件或电话号码必须已标记为已验证，从而用户无需验证即可登录。

在测试应用程序时发送电子邮件

当用户在您的用户群体的客户端应用程序中创建和管理其账户时，Amazon Cognito 将向用户发送电子邮件。如果您将用户池配置为要求电子邮件验证，Amazon Cognito 将在以下情况下发送电子邮件：

根据发起电子邮件递送的操作，电子邮件将包含验证码或临时密码。您的用户必须接收这些电子邮件并理解消息。否则，他们可能无法登录并使用您的应用程序。

要确保电子邮件成功发送并且邮件看起来正确，请测试应用程序中从 Amazon Cognito 启动电子邮件传送的操作。例如，通过使用应用程序中的注册页面或通过使用 SignUp API 操作，您可以通过使用测试电子邮件地址进行注册来启动电子邮件传送。在通过此方式进行测试时，请记住以下几点：

当您测试启动电子邮件传送的操作时，请使用下列电子邮件地址之一以防止出现查无此人的邮件：