Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

注册并确认用户账户

可通过以下任一方法将用户账户添加到您的用户池中：

自行注册的用户必须得到确认才可登录。导入和创建的用户已经过确认，但他们必须在首次登录时创建自己的密码。以下部分将介绍确认过程以及电子邮件和电话验证。

注册时的密码

Amazon Cognito 要求所有用户在注册时提供密码，但以下情况除外。如果满足所有这些条件，则可以在注册操作中省略密码。

用户账户确认概览

下图阐明了确认过程：

用户账户可以处于以下任一状态：

在注册时验证联系人信息

当新用户注册您的应用程序时，您可能希望他们提供至少一种联系方式。例如，利用用户的联系人信息，您可以：

对于像这样的使用案例，将消息发送到经过验证的目的地非常重要。否则，您可能会将消息发送到错误键入的无效电子邮件地址或电话号码。或者更糟糕的是，您可能会将敏感信息发送给冒充您的用户的坏人。

为了帮助确保您仅将消息发送给正确的人员，请配置您的 Amazon Cognito 用户池以使用户在注册时必须提供以下内容：

通过提供验证码，用户可以证明他们有权访问收到该代码的邮箱或手机。在用户提供该代码后，Amazon Cognito 将通过以下方式更新用户池中的用户相关信息：

要查看此信息，您可以使用 Amazon Cognito 控制台。或者，您可以使用 AdminGetUser API 操作、带的admin-get-user Amazon CLI命令或其中一个中的相应操作 Amazon SDKs。

如果用户具有经验证的联系方式，Amazon Cognito 会在用户请求重置密码时自动向其发送消息。

确认和验证用户属性的其他操作

以下用户活动验证了用户属性。您无需将这些属性设置为自动验证：列出的操作在所有情况下都将其标记为已验证。

配置您的用户池以要求电子邮件或手机验证

验证用户的电子邮件地址和电话号码时，确保可以联系到用户。完成中的以下步骤， Amazon Web Services Management Console 将您的用户池配置为要求您的用户确认其电子邮件地址或电话号码。

使用电子邮件或电话验证的身份验证流程

如果您的用户池要求用户验证其联系人信息，则当用户注册时，您的应用程序必须促进以下流程：

在您要求用户确认电子邮件地址和电话号码的情况下

Amazon Cognito 在用户注册时仅验证一种联系方式。如果 Amazon Cognito 必须在验证电子邮件地址或电话号码之间进行选择，则会选择通过 SMS 消息发送验证码来验证电话号码。例如，如果您将用户池配置为允许用户验证电子邮件地址或电话号码，并且您的应用程序在注册时提供了这两个属性，则 Amazon Cognito 将仅验证电话号码。在用户验证其电话号码后，Amazon Cognito 会将用户的状态设置为 CONFIRMED，并允许用户登录您的应用程序。

在用户登录后，您的应用程序会提供相应选项来验证在注册期间未验证的联系方式。为了验证第二种联系方式，您的应用程序将调用 VerifyUserAttribute API 操作。请注意，此操作需要 AccessToken 参数，而 Amazon Cognito 只为经过身份验证的用户提供访问令牌。因此，您只能在用户登录后验证第二种联系方式。

如果您要求用户同时验证电子邮件地址和电话号码，请执行以下操作：

允许用户在您的应用程序中注册但以用户池管理员身份进行确认

您可能不希望您的用户池自动在用户池中发送验证消息，但仍希望允许任何人注册账户。例如，该模型为人工审查新的注册请求以及批量验证和处理注册留出了空间。您可以在 Amazon Cognito 控制台中或通过 IAM 身份验证的 API 操作确认新的用户账户。AdminConfirmSignUp无论您的用户池是否发送验证消息，您都能以管理员身份确认用户账户。

您只能使用此方法确认用户的自助注册。要确认您以管理员身份创建的用户，请创建Permanent设置为AdminSetUserPassword的 API 请求True。

计算密钥哈希值

作为最佳实践，请将客户端密钥分配给您的机密应用程序客户端。当您向应用程序客户端分配客户端密钥时，您的 Amazon Cognito 用户池 API 请求必须包括一个哈希值，用于包含请求正文中的客户端密钥。为了验证您对以下列表中 API 操作的客户端密钥的了解，请将客户端密钥与应用程序客户端 ID 和用户的用户名连接起来，然后对该字符串进行 base64 编码。

应用程序将用户登录到具有密钥哈希值的客户端时，您可以使用任何用户池登录属性的值作为密钥哈希值的用户名元素。应用程序在使用 REFRESH_TOKEN_AUTH 的身份验证操作中请求新令牌时，用户名元素的值取决于您的登录属性。如果您的用户池没有将 username 用作登录属性，请通过用户的访问令牌或 ID 令牌中的 sub 声明设置密钥哈希用户名值。如果 username 为登录属性，请通过 username 声明设置密钥哈希用户名值。

以下 Amazon Cognito 用户池 APIs 接受参数中的客户端密钥哈希值。SecretHash

此外，以下内容 APIs 接受SECRET_HASH参数中的客户端密钥哈希值，无论是在身份验证参数中还是在质询响应中。

密钥哈希值是 Base 64 编码的加密哈希消息身份验证代码（HMAC，Hash Message Authentication Code），使用用户池客户端的私有密钥、用户名以及消息中的客户端 ID 进行计算。以下伪代码显示如何计算此值。在此伪代码中，+表示串联，表示使用 Hmac 生成 HMAC 值的函数，并HMAC_SHA256Base64表示生成 Base-64 编码SHA256版本的哈希输出的函数。

Base64 ( HMAC_SHA256 ( "Client Secret Key", "Username" + "Client Id" ) )

有关如何计算和使用SecretHash参数的详细概述，请参阅如何解决我的 Amazon Cognito 用户池 API 中的 “无法验证客户端的秘密哈希” 错误？<client-id> 在 Amazon 知识中心中。

您可以在服务器端应用程序代码中使用以下代码示例：

Shell

echo -n "[username][app client ID]" | openssl dgst -sha256 -hmac [app client secret] -binary | openssl enc -base64

Java

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
 
public static String calculateSecretHash(String userPoolClientId, String userPoolClientSecret, String userName) {
    final String HMAC_SHA256_ALGORITHM = "HmacSHA256";
    
    SecretKeySpec signingKey = new SecretKeySpec(
            userPoolClientSecret.getBytes(StandardCharsets.UTF_8),
            HMAC_SHA256_ALGORITHM);
    try {
        Mac mac = Mac.getInstance(HMAC_SHA256_ALGORITHM);
        mac.init(signingKey);
        mac.update(userName.getBytes(StandardCharsets.UTF_8));
        byte[] rawHmac = mac.doFinal(userPoolClientId.getBytes(StandardCharsets.UTF_8));
        return Base64.getEncoder().encodeToString(rawHmac);
    } catch (Exception e) {
        throw new RuntimeException("Error while calculating ");
    }
}

Python

import sys
import hmac, hashlib, base64 
username = sys.argv[1] 
app_client_id = sys.argv[2] 
key = sys.argv[3] 
message = bytes(sys.argv[1]+sys.argv[2],'utf-8') 
key = bytes(sys.argv[3],'utf-8') 
secret_hash = base64.b64encode(hmac.new(key, message, digestmod=hashlib.sha256).digest()).decode() 
print("SECRET HASH:",secret_hash)

无需验证电子邮件或电话号码即可确认用户账户

预注册 Lambda 触发器可用于在注册时自动确认用户账户，而无需提供确认码或者验证电子邮件或电话号码。通过此方法进行确认的用户可立即登录，而无需接收代码。

您还可通过此触发器将用户的电子邮件或电话号码标记为已验证。

如果您不要求用户在注册时接收并输入确认码，也不在预注册 Lambda 触发器中自动验证电子邮件和电话号码，则您将承担对于该用户账户不具备经验证的电子邮件地址或电话号码的风险。用户可以稍后验证电子邮件地址或电话号码。但是，如果用户忘记自己的密码且没有经验证的电子邮件地址或电话号码，则用户将被锁定而无法使用账户，因为忘记密码流程需要经验证的电子邮件或电话号码以便向用户发送验证码。

当用户更改其电子邮件或电话号码时应进行验证

在您配置了多个登录名的用户池中，用户可以在登录时输入电话号码或电子邮件地址作为用户名。当他们在您的应用程序中更新其电子邮件地址或电话号码时，Amazon Cognito 可以立即向他们发送一条消息，其中包含验证他们对新属性值的所有权的代码。要启用自动发送这些验证码，请参阅配置电子邮件或电话验证。

收到验证码的用户必须在请求中将该验证码提供给 Amazon Cognito。VerifyUserAttribute在他们提供代码后，他们的属性将被标记为已验证。通常，当用户更新其电子邮件地址或电话号码时，您需要先验证他们是否拥有新值，然后他们才能使用新值登录和接收消息。用户池有一个可配置的选项，用于确定用户是否必须验证其电子邮件地址或电话号码的更新。

此选项是用户池属性AttributesRequireVerificationBeforeUpdate。在CreateUserPool或UpdateUserPool请求中对其进行配置，或者在 Amazon Cognito 控制台的 “注册” 菜单中使用待更新时保持原始属性值处于活动状态设置。

您的用户池如何处理电子邮件地址和电话号码的更新与用户池的用户名配置有关。用户池用户名可以采用用户名属性配置，其中登录名为电子邮件地址、电话号码或两者兼而有之。它们也可以位于别名属性配置中，其中username属性是登录名以及电子邮件地址、电话号码或首选用户名作为备用登录名。有关更多信息，请参阅 自定义登录属性。

您也可以使用自定义消息 Lambda 触发器来自定义验证消息。有关更多信息，请参阅 自定义消息 Lambda 触发器。当用户的电子邮件地址或电话号码未经验证时，您的应用程序应通知用户他们必须验证该属性，并提供一个按钮或链接供用户输入其验证码。

下表描述了当用户更改其登录属性的值时，别名设置如何AttributesRequireVerificationBeforeUpdate决定结果。

示例 1

用户 1 使用电子邮件地址登录您的应用程序，user1@example.com并拥有用户名user1（别名属性）。您的用户池已配置为验证登录属性的更新并自动发送验证消息。他们要求将其电子邮件地址更新为user1+foo@example.com。他们会收到一封验证电子邮件，user1+foo@example.com并且只能使用该电子邮件地址重新登录user1@example.com。之后，他们输入验证码，并且只能使用该电子邮件地址再次登录user1+foo@example.com。

示例 2

用户 2 使用电子邮件地址登录您的应用程序，user2@example.com并拥有用户名（别名属性）。您的用户池配置为不验证登录属性的更新，而是自动发送验证消息。他们要求将其电子邮件地址更新为user2+bar@example.com。他们在收到一封验证电子邮件user2+bar@example.com，但无法再次登录。之后，他们输入验证码，并且只能使用该电子邮件地址再次登录user2+bar@example.com。

示例 3

用户 3 使用电子邮件地址登录您的应用程序user3@example.com，但没有用户名（用户名属性）。您的用户池配置为不验证登录属性的更新，而是自动发送验证消息。他们要求将其电子邮件地址更新为user3+baz@example.com。他们会收到一封验证电子邮件user3+baz@example.com，但他们可以立即登录，无需使用验证码进行任何其他操作。

针对由管理员或开发人员创建的用户账户的确认和验证过程

由管理员或开发人员创建的用户账户已经处于已确认状态，所以用户无需输入确认代码。Amazon Cognito 服务向这些用户发送的邀请消息包含用户名和临时密码。用户需要在登录前更改密码。有关更多信息，请参阅自定义电子邮件和 SMS 消息中的 以管理员身份创建用户账户和使用 Lambda 触发器自定义用户池工作流中的自定义消息触发器。

针对导入的用户账户的确认和验证过程

使用 Amazon Web Services Management Console、CLI 或 API 中的用户导入功能（参见通过 CSV 文件将用户导入用户池中）创建的用户账户已处于已确认状态，因此用户无需输入确认码。没有发送邀请消息。但是，导入的用户账户要求用户首先调用 ForgotPassword API 来请求代码，然后通过调用 ConfirmForgotPassword API 来使用发送的代码创建密码，之后方可登录。有关更多信息，请参阅 要求导入的用户重置密码。

导入用户账户时，用户的电子邮件或电话号码必须已标记为已验证，从而用户无需验证即可登录。

在测试应用程序时发送电子邮件

当用户在您的用户池的客户端应用程序中创建和管理其账户时，Amazon Cognito 将向用户发送电子邮件。如果您将用户池配置为要求电子邮件验证，Amazon Cognito 将在以下情况下发送电子邮件：

根据发起电子邮件递送的操作，电子邮件将包含验证码或临时密码。您的用户必须接收这些电子邮件并理解消息。否则，他们可能无法登录并使用您的应用程序。

要确保电子邮件成功发送并且邮件看起来正确，请测试应用程序中从 Amazon Cognito 启动电子邮件传送的操作。例如，通过使用应用程序中的注册页面或通过使用 SignUp API 操作，您可以通过使用测试电子邮件地址进行注册来启动电子邮件传送。在通过此方式进行测试时，请记住以下几点：

当您测试启动电子邮件传送的操作时，请使用下列电子邮件地址之一以防止出现查无此人的邮件：