amazon-web-services - AWS 认知 : email unverified on main account after AdminLinkProviderForUser

Question

我正在 Cognito 中实现具有相同电子邮件的用户帐户的链接。因此，如果有人注册，例如与谷歌和电子邮件已经在 cognito，我将把这个新帐户链接到现有的 AdminLinkProviderForUser。我基本上一直在这里关注这个答案:https://stackoverflow.com/a/59642140/13432045 .链接按预期工作，但之后 email_verified 切换为 false(之前已验证)。这是预期的行为吗？如果是，那么我的问题是为什么？如果不是，那么我的问题是我做错了什么？这是我的预注册 lambda:

const {
  CognitoIdentityProviderClient,
  AdminLinkProviderForUserCommand,
  ListUsersCommand,
  AdminUpdateUserAttributesCommand,
} = require("@aws-sdk/client-cognito-identity-provider");

exports.handler = async (event, context, callback) => {
  if (event.triggerSource === "PreSignUp_ExternalProvider") {
    const client = new CognitoIdentityProviderClient({
      region: event.region,
    });

    const listUsersCommand = new ListUsersCommand({
      UserPoolId: event.userPoolId,
      Filter: `email = "${event.request.userAttributes.email}"`,
    });

    try {
      const data = await client.send(listUsersCommand);
      if (data.Users && data.Users.length) {
        const [providerName, providerUserId] = event.userName.split("_"); // event userName example: "Facebook_12324325436"
        const provider = ["Google", "Facebook", "SignInWithApple"].find(
          (p) => p.toUpperCase() === providerName.toUpperCase()
        );
        const linkProviderCommand = new AdminLinkProviderForUserCommand({
          DestinationUser: {
            ProviderAttributeValue: data.Users[0].Username,
            ProviderName: "Cognito",
          },
          SourceUser: {
            ProviderAttributeName: "Cognito_Subject",
            ProviderAttributeValue: providerUserId,
            ProviderName: provider,
          },
          UserPoolId: event.userPoolId,
        });

        await client.send(linkProviderCommand);

        /* fix #1 - this did not help */
        // const emailVerified = data.Users[0].Attributes.find(
        //   (a) => a.Name === "email_verified"
        // );
        // if (emailVerified && emailVerified.Value) {
        //   console.log("updating");
        //   const updateAttributesCommand = new AdminUpdateUserAttributesCommand({
        //     UserAttributes: [
        //       {
        //         Name: "email_verified",
        //         Value: "true",
        //       },
        //     ],
        //     UserPoolId: event.userPoolId,
        //     Username: data.Users[0].Username,
        //   });

        //   await client.send(updateAttributesCommand);
        // }

        /* fix #2 - have no impact on the outcome */
        // event.response.autoConfirmUser = true;
        // event.response.autoVerifyEmail = true;
      }
    } catch (error) {
      console.error(error);
    }
  }

  callback(null, event);
};

如您所见，我尝试传递 autoConfirmUser 和 autoVerifyEmail，但没有任何影响。我还尝试在调用 AdminLinkProviderForUser 后手动更新 email_verified ，这也没有帮助。所以我认为 email_verified 仅在 lambda 完成后才设置为 false。

Answer 1

我实际上已经找到了这个问题的解决方案!这很棘手，但效果很好。

我遇到的主要问题是，如果用户使用已连接的提供商帐户登录，则前/后身份验证 lambda 不会触发。注册链接后也不会触发后确认 lambda。最重要的是，如果您手动尝试更改提供者在 cognito 中的用户，您仍然会得到 email_verified = false。

那么这里的解决方案是什么？

嗯，它实际上是二合一的。

1。属性映射

Cognito 支持的一些提供商已经具有“电子邮件验证”属性，我们可以在 Attribute Mapping 部分中直接映射。 Google 就是这种情况。只需将其映射到 Cognito 的属性即可!

2。 PreToken触发器

对于其他供应商，主要是 Facebook(我没有使用除 Facebook 和谷歌以外的任何供应商，但它们应该都是一样的)，它们本身没有电子邮件验证属性，这是我能找到正确的唯一方法强制它通过预 token 触发器进行验证。逻辑是:调用 lambda 后，验证获得身份验证的用户是否有链接到它的提供程序，同时将其 email_verified 选项设置为 false。如果您满足此条件，请在返回 Cognito 之前使用 adminUpdateUserAttributes 方法更新用户。这样，无论任何后续提供者登录是否将属性翻转回 false，此 lambda 确保它被翻转回来。

如果您想要解决方案的示例代码，这是我的预 token 处理程序:

const AWS = require('aws-sdk');

class PreTokenHandler {
  constructor({ cognitoService }) {
    this.cognitoService = cognitoService;
  }

  async main(event, _context, callback) {
  const {
      userPoolId,
      userName: Username,
      request: { userAttributes: { identities, email_verified } }
    } = event;

    const emailVerified = ['true', true].some(value => value === email_verified);

    if (!identities?.length || emailVerified) return callback(null, event);

    await this.cognitoService.adminUpdateUserAttributes({
      UserPoolId: userPoolId,
      Username,
      UserAttributes: [{ Name: 'email_verified', Value: 'true' }]
    }).promise();

    callback(null, event);
  }
}

const cognitoService = new AWS.CognitoIdentityServiceProvider({ apiVersion: '2016-04-18' });

const handler = new PreTokenHandler({ cognitoService });

module.exports = handler.main.bind(handler);

我添加了 'true' x true 检查以确保我在属性值可能不一致时是安全的，尽管它只是额外安全并且可能没有必要。