本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

註冊及確認使用者帳戶

使用者帳戶會以下列其中一種方法新增到您的使用者集區：

自行註冊的使用者必須經過確認才能登入。匯入和建立的使用者已經過確認，但必須在第一次登入時建立自己的密碼。以下各節將說明確認程序，以及電子郵件和電話驗證。

註冊時的密碼

Amazon Cognito 在註冊時需要所有使用者的密碼，但下列情況除外。如果符合所有這些條件，您可以在註冊操作中省略密碼。

使用者帳戶確認概觀

下圖說明確認程序：

使用者帳戶可以是下列任何狀態：

註冊時驗證聯絡資訊

當新使用者註冊您的應用程式時，您可能希望其提供至少一種聯絡方式。例如，若您有了使用者的聯絡資訊，即可以：

對於以上所述的各種使用案例，您的訊息務必傳送至已驗證的目的地。否則，您的訊息將有可能因輸入錯誤而傳送至無效的電子郵件地址或電話號碼。或者更糟的是，您可能會將機密資訊傳送給假冒正當使用者的惡意人士。

為協助確保您的訊息只傳送給合宜的人士，請設定您的 Amazon Cognito 使用者集區，要求使用者註冊時必須提供以下項目：

透過提供驗證碼，使用者即證明其有權可存取收到該驗證碼的信箱或電話。使用者提供該代碼後，Amazon Cognito 將會更新您的使用者集區中相應使用者的資訊，方式如下：

若要檢視這項資訊，您可以使用 Amazon Cognito 主控台。或者，您可以使用 AdminGetUser API 操作、 admin-get-user命令搭配 AWS CLI，或其中一個 AWS SDKs中的對應動作。

如果使用者已驗證過聯絡方式，Amazon Cognito 將在使用者請求重設密碼時自動傳送訊息給該使用者。

確認和驗證使用者屬性的其他動作

下列使用者活動會驗證使用者屬性。您不需要將這些屬性設定為自動驗證：列出的動作在所有情況下都會將其標記為已驗證。

設定您的使用者集區以要求進行電子郵件或電話驗證

當您驗證您的使用者電子郵件地址和電話號碼後，便可確保您能夠與您的使用者聯絡。請完成 中的下列步驟 AWS Management Console ，以設定您的使用者集區，要求您的使用者確認其電子郵件地址或電話號碼。

身分驗證流程搭配電子郵件或電話驗證

如果您的使用者集區要求使用者驗證其聯絡資訊，您的應用程式即必須在使用者註冊時推行以下流程：

若您要求使用者一併確認電子郵件地址和電話號碼

Amazon Cognito 在使用者註冊時僅驗證一種聯絡方式。如果 Amazon Cognito 必須擇其一驗證電子郵件地址或是電話號碼，其將選擇驗證電話號碼，即透過簡訊傳送驗證碼。例如，假使您將使用者集區設定成允許使用者驗證電子郵件地址或電話號碼，而且您的應用程式在註冊時提供了這兩個屬性，Amazon Cognito 便只會驗證電話號碼。使用者已驗證其電話號碼後，Amazon Cognito 會將使用者的狀態設為 CONFIRMED，以允許使用者登入您的應用程式。

待使用者登入後，您的應用程式即可提供選項以驗證當初註冊時未驗證的聯絡方式。為了驗證第二種聯絡方式，您的應用程式將呼叫 VerifyUserAttribute API 動作。請注意，此動作需要 AccessToken 參數，而 Amazon Cognito 只會為已驗證的使用者提供存取權杖。因此，您要等到使用者登入後才能驗證第二種聯絡方式。

若您要求使用者一併驗證電子郵件地址和電話號碼，請執行以下步驟：

允許使用者註冊您的應用程式，但以使用者集區管理員身分確認使用者

您可能不希望使用者集區在您的使用者集區中自動傳送驗證訊息，但仍想要允許任何人註冊帳戶。例如，該模式為人工審查新的註冊請求，以及批次驗證和處理請求保留空間。您可以在 Amazon Cognito 主控台中或使用 IAM 驗證 API 操作 AdminConfirmSignUp 來確認新的使用者帳戶。無論您的使用者集區是否傳送驗證訊息，您都可以以管理員身分確認使用者帳戶。

您只能將此技術用於確認使用者自助式註冊。若要以系統管理員身分確認建立的使用者，請使用 Permanent 將 AdminSetUserPassword 請求設定為 True。

運算私密雜湊值

最佳實務是將用戶端秘密指派給機密應用程式用戶端。將用戶端秘密指派給應用程式用戶端時，Amazon Cognito 使用者集區 API 請求必須包含在請求內文中包含用戶端秘密的雜湊。要驗證您對以下清單中 API 操作的用戶端秘密的了解，請將用戶端秘密與您的應用程式用戶端 ID 和使用者的使用者名稱串接起來，然後對該字串進行 base64 編碼。

當您的應用程式將使用者登錄到具有私密雜湊的用戶端時，您可用任何使用者集區登錄屬性的值作為私密雜湊的用戶名元素。當您的應用程式用 REFRESH_TOKEN_AUTH 在身份驗證操作中請求新權杖時，用戶名元素的值取決於您的登錄屬性。如果您的使用者集區沒有 username 作為登錄屬性，請從使用者之存取或 ID 權杖 sub 宣告中設定私密雜湊用戶名的值。如果 username 是登入屬性，請從 username 宣告中設定私密雜湊用戶名的值。

下列 Amazon Cognito 使用者集區 API 接受 SecretHash 參數中的用戶端秘密雜湊值。

此外，下列 API 會在身分驗證參數或挑戰回應中接受 SECRET_HASH 參數中的用戶端秘密雜湊值。

私密雜湊值是一種 Base 64 編碼的金鑰式雜湊訊息驗證碼 (HMAC)，利用使用者集區用戶端的私密金鑰和使用者名稱，加上訊息中的用戶端 ID 計算而成。下列虛擬程式碼顯示這個值是如何計算出來的。在這個虛擬程式碼中，+代表串聯，HMAC_SHA256 代表使用 HmacSHA256 來產生 HMAC 值的函數，而 Base64 代表產生 Base-64 編碼版雜湊輸出的函數。

Base64 ( HMAC_SHA256 ( "Client Secret Key", "Username" + "Client Id" ) )

如需如何計算和使用 SecretHash 參數的詳細概觀，請參閱 AWS 知識中心的「無法驗證用戶端 <client-id>」錯誤的秘密雜湊 Amazon Cognito ？。

您可以在伺服器端應用程式碼中使用下列程式碼範例：

Shell

echo -n "[username][app client ID]" | openssl dgst -sha256 -hmac [app client secret] -binary | openssl enc -base64

Java

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
 
public static String calculateSecretHash(String userPoolClientId, String userPoolClientSecret, String userName) {
    final String HMAC_SHA256_ALGORITHM = "HmacSHA256";
    
    SecretKeySpec signingKey = new SecretKeySpec(
            userPoolClientSecret.getBytes(StandardCharsets.UTF_8),
            HMAC_SHA256_ALGORITHM);
    try {
        Mac mac = Mac.getInstance(HMAC_SHA256_ALGORITHM);
        mac.init(signingKey);
        mac.update(userName.getBytes(StandardCharsets.UTF_8));
        byte[] rawHmac = mac.doFinal(userPoolClientId.getBytes(StandardCharsets.UTF_8));
        return Base64.getEncoder().encodeToString(rawHmac);
    } catch (Exception e) {
        throw new RuntimeException("Error while calculating ");
    }
}

Python

import sys
import hmac, hashlib, base64 
username = sys.argv[1] 
app_client_id = sys.argv[2] 
key = sys.argv[3] 
message = bytes(sys.argv[1]+sys.argv[2],'utf-8') 
key = bytes(sys.argv[3],'utf-8') 
secret_hash = base64.b64encode(hmac.new(key, message, digestmod=hashlib.sha256).digest()).decode() 
print("SECRET HASH:",secret_hash)

確認使用者帳戶，而不驗證電子郵件或電話號碼

預先註冊 Lambda 觸發程序可以用來在註冊時自動確認使用者帳戶，而不需要確認碼或驗證電子郵件或電話號碼。以這種方式確認的使用者可以立即登入，而不需要接收確認碼。

您也可以透過這個觸發器，將使用者的電子郵件或電話號碼標記為已驗證。

如果您不需要使用者在註冊時接收並輸入確認碼，而且您不在預先註冊 Lambda 觸發程序中自動驗證電子郵件和電話號碼，您就沒有該使用者帳戶的已驗證電子郵件地址或電話號碼，這會是個風險。使用者可以之後再驗證電子郵件地址或電話號碼。不過，如果使用者忘記密碼，而且沒有已驗證的電子郵件地址或電話號碼，使用者就無法進入帳戶，因為忘記密碼流程需要已驗證的電子郵件或電話號碼，才能傳送驗證碼給使用者。

在使用者變更電子郵件或電話號碼時進行驗證

當使用者在您應用程式中更新其電子郵件地址或電話號碼時，如果您將使用者集區設定為自動驗證該屬性，Amazon Cognito 會立即將一則內含驗證碼的訊息傳送給使用者。然後，使用者必須將驗證訊息中的驗證碼提供給您的應用程式。接著，您的應用程式會在 VerifyUserAttribute API 請求中提交驗證碼，以完成新屬性值的驗證。

如果您的使用者集區不要求使用者驗證更新後的電子郵件地址或電話號碼，Amazon Cognito 會立即變更已更新 email 或phone_number 屬性的值，並將屬性標記為未驗證。您的使用者無法使用未驗證的電子郵件或電話號碼登入。他們必須先完成驗證更新後的值，才能將該屬性作為登入別名。

如果您的使用者集區要求使用者驗證更新後的電子郵件地址或電話號碼，Amazon Cognito 會將該屬性保持為已驗證並將其設定為原始值，直到您的使用者驗證新屬性值為止。如果屬性是用於登入的別名，則在驗證將該屬性變更為新值之前，使用者都可以使用原始屬性值登入。如需如何設定您的使用者集區以要求使用者驗證更新後屬性的詳細資訊，請參閱設定電子郵件或電話驗證。

您可以使用自訂訊息 Lambda 觸發程序來自訂驗證訊息。如需詳細資訊，請參閱自訂訊息 Lambda 觸發程序。當使用者的電子郵件地址或電話號碼未驗證時，您的應用程式就應該告知使用者必須驗證該屬性，並提供可讓使用者驗證新電子郵件地址或電話號碼的按鈕或連結。

由管理員或開發人員建立之使用者帳戶的確認和驗證程序

由管理員或開發人員建立的使用者帳戶已經是已確認狀態，因此使用者不需要輸入確認碼。Amazon Cognito 服務傳送給這些使用者的邀請訊息包含使用者名稱和臨時密碼。使用者必須先變更密碼，才能登入。如需詳細資訊，請參閱建立使用者帳戶為管理員中的自訂電子郵件和 SMS 訊息，以及使用 Lambda 觸發程序來自訂使用者集區工作流程中的自訂訊息觸發器。

匯入的使用者帳戶的確認和驗證程序

使用 、CLI AWS Management Console或 API （請參閱從 CSV 檔案將使用者匯入使用者集區) 中的使用者匯入功能建立的使用者帳戶已處於確認狀態，因此使用者不需要輸入確認碼。不會傳送任何邀請訊息。不過，匯入的使用者帳戶需要使用者先呼叫 ForgotPasswordAPI 來請求代碼，然後呼叫 ConfirmForgotPassword API，以使用所傳送的代碼來建立密碼，之後才能登入。如需詳細資訊，請參閱需要匯入的使用者重設密碼。

當使用者帳戶匯入時，使用者的電子郵件或電話號碼必須標記為已驗證，因此在使用者登入時，不需要進行驗證。

在測試應用程式時傳送電子郵件

當使用者在您使用者集區的用戶端應用程式中建立和管理其帳戶時，Amazon Cognito 會傳送電子郵件訊息給使用者。如果您將使用者集區設定成要求電子郵件驗證，Amazon Cognito 便會在以下情況傳送電子郵件：

視發出電子郵件的動作而定，此電子郵件將包含驗證碼或臨時密碼。您的使用者必須接收這類電子郵件並了解其訊息內容，否則可能無法登入與使用您的應用程式。

為確保順利傳送電子郵件且訊息內容正確無誤，請在您的應用程式中測試從 Amazon Cognito 起始電子郵件傳遞的動作。例如，您可以使用應用程式的註冊頁面或使用 SignUp API 動作，透過註冊測試電子郵件地址的方式發出電子郵件。以這種方式測試時，請牢記以下要點：

當您測試發出電子郵件的動作時，請使用以下任一種電子郵件地址避免造成硬退信：