为已经登录AWS Cognito的用户触发预身份验证触发器

Question

我正在使用预身份验证触发器来限制某些用户访问某些客户端； https://docs.aws.amazon.com/cognito/latest/developerguide/user-pool-lambda-pre-authentication.html中记录的示例几乎全部。

用户可以访问应用程序A，但不能访问应用程序B。我发现了以下内容：

1. 用户尝试登录到应用程序B。预身份验证lambda被触发，它停止用户登录。
2. 他们进入应用程序A。预身份验证lambda会被触发，并允许他们继续进行并获得令牌。
3. 他们导航回应用程序B。他们现在看到的不是“登录”屏幕，而是“登录为”。他们单击此按钮，然后成功登录，绕过了预身份验证lambda并获得了他们不应该拥有的应用程序的访问权限。

有什么方法可以在他们每次登录时触发lambda吗？这似乎是一个很大的安全性问题，因为它绕过了安全性，而事实上，这是文档中的示例用法，这使它看起来更糟。

我知道我可以使用令牌生成前的lambda，但是我希望Cognito阻止用户进入该应用程序，我不想在每个应用程序中添加逻辑来处理令牌生成错误响应。

谢谢