Похоже, ваш пул пользователей настроен с UsernameAttributes, и вы выбрали как email, так и phone_number, чтобы действовать как имя пользователя.Я согласен, что поведение довольно странное, и вы можете получить двух разных пользователей, имеющих одинаковые адрес электронной почты и номер телефона, оба атрибута проверены.
Вы пытались настроить пул пользователей с UsernameAliases?Это позволяет вам указать 3 атрибута (email, phone_number, предпочитаемое_имя_пользователя), которые будут действовать как псевдонимы имени пользователя, и пользователи смогут войти в систему с любым из них (при условии, что они проверены).Предостережение заключается в том, что они не смогут аутентифицироваться по адресу электронной почты сразу после регистрации, поскольку его необходимо сначала проверить.