使用Cognito的无密码身份验证流

Question

我一直在尝试使用AWS Cognito实现无密码身份验证

我关注了这些文章：https://medium.com/digicred/password-less-authentication-in-cognito-cafa016d4db7 https://medium.com/@pjatocheseminario/passwordless-api-using-cognito-and-serverless-framework-7fa952191352

我已经配置了Cognito（接受CUSTOM_AUTH），添加了Lambdas，并创建了APIendpoint：

/sign-up 
/initiate-auth (aka initiate login)
/respond-to-auth-challenge (aka (verify login)

当调用启动Auth时，我收到以下响应：调用启动Auth操作时发生错误（NotAuthorizedExc0019）：不正确的用户名或密码。"

我使用的CUSTOM_AUTH不需要密码，用户名肯定是正确的，因为它实际上启动了身份验证流，我收到了一个代码，但是因为boto3没有响应会话，我不能继续身份验证。

这就是我对Cognito的称呼：

res = cognito.initiate_auth(
        ClientId=client_id,
        AuthFlow="CUSTOM_AUTH",
        AuthParameters={
            "USERNAME": email,
            "PASSWORD": random_password  
            }
        )

我可能遗漏了一些小东西，但我不知道是什么。

Answer 1

我也面临同样的错误，我认为错误信息是误导性的。当您在CreateAuth Challenge lambda中没有正确响应时，将出现此错误。所以要确保你的lambda里一切正常。

Answer 2

你的客户端代码看起来不错，我的代码中有ClientId参数，但是如果你的代码没有引发异常，那么应该没问题。除非在创建应用客户端时选中了生成客户端秘密选项。如果是这种情况，那么您必须在AuthParameters中传递SECRET_HASH，如下所示：

import hmac
import hashlib
import base64

def get_secret_hash(email, client_id, client_secret):                                                                   
     """                                                                                                                 
     A keyed-hash message authentication code (HMAC) calculated using                                                    
     the secret key of a user pool client and username plus the client                                                   
     ID in the message.                                                                                                  
     """                                                                                                                 
     message = email + client_id                                                                                         
     client_secret = str.encode(client_secret)                                                                           
     dig = hmac.new(client_secret, msg=message.encode('UTF-8'), digestmod=hashlib.sha256).digest()                       
     return base64.b64encode(dig).decode()
                                                                                                                 
client.admin_initiate_auth(                                                                                  
    UserPoolId=COGNITO_USER_POOL_ID,                                                                                    
    ClientId=CLIENT_ID,                                                                                                 
    AuthFlow='CUSTOM_AUTH',                                                                                             
    AuthParameters={                                                                                                    
        'USERNAME': email,                                                                                              
        'SECRET_HASH': get_secret_hash(email, CLIENT_ID, CLIENT_SECRET) # Omit if secret key option is disabled.                                                          
    },
) 

接下来，再次检查以下各项：

在应用程序客户端下

在应用程序集成下

如果您的Cognito设置正确，并且您的代码仍然不工作，那么它可能是lambda代码。您可能知道这一点，但是对于无密码的自定义身份验证，您需要使用3个lambda触发器：定义身份验证挑战、创建身份验证挑战和验证身份验证挑战。

自定义验证lambdas事件按以下顺序触发：

• DefineAuthChallenge\u身份验证：

def lambda_handler(event, context):
    if event['triggerSource'] == 'DefineAuthChallenge_Authentication':
        event['response']['challengeName'] = 'CUSTOM_CHALLENGE'
        event['response']['issueTokens'] = False
        event['response']['failAuthentication'] = False

        if event['request']['session']:  # Needed for step 4.
            # If all of the challenges are answered, issue tokens.
            event['response']['issueTokens'] = all(
                answered_challenge['challengeResult'] for answered_challenge in event['request']['session'])
    return event

def lambda_handler(event, context):
    if event['triggerSource'] == 'CreateAuthChallenge_Authentication':
        if event['request']['challengeName'] == 'CUSTOM_CHALLENGE':
            event['response']['privateChallengeParameters'] = {}
            event['response']['privateChallengeParameters']['answer'] = 'YOUR CHALLENGE ANSWER HERE'
            event['response']['challengeMetadata'] = 'AUTHENTICATE_AS_CHALLENGE'
    return event

然后，您的客户必须响应挑战：

client.respond_to_auth_challenge(                                                                            
    ClientId=CLIENT_ID,                                                                                                 
    ChallengeName='CUSTOM_CHALLENGE',                                                                                   
    Session=session,                                                                                                    
    ChallengeResponses={                                                                                                
        'USERNAME': email,                                                                                              
        'ANSWER': 'Extra Protection!',                                                                                  
        'SECRET_HASH': get_secret_hash(email, CLIENT_ID, CLIENT_SECRET)  # Omit if secret key option is disabled.                                                 
    }                                                                                                                   
)    

def lambda_handler(event, context):
    if event['triggerSource'] == 'VerifyAuthChallengeResponse_Authentication':
        if event['request']['challengeAnswer'] == event['request']['privateChallengeParameters']['answer']:
            event['response']['answerCorrect'] = True
    return event

• 将事件设置为True以返回令牌（步骤1中显示的代码），或者发出另一个挑战以继续重复步骤1-3。

最后，请确保是否也为您的用户池启用了不区分大小写选项。此外，如果用户处于FORCE_CHANGE_PASSWORD状态，我不能确切地回忆起CUSTOM_AUTH流是否工作。如果用户处于该状态，则尝试使用sdk设置永久密码，将状态设置为CONFIRMED。