AWS CLI 登录页面显示 UnknownOperationException，如何排查？
结论
仅凭浏览器中显示的 <UnknownOperationException/>，无法确定故障原因。已知错误出现在 aws login 打开的登录页面，其他服务中同名异常的处理方法未必适用。
重装未能解决问题，接下来应检查实际执行的 AWS CLI、登录使用的 Region，以及浏览器收到错误响应的具体请求。目前尚未确认根因。
1. 确认当前执行的是哪个 AWS CLI
在 Ubuntu 终端运行：
type -a aws
aws --version
aws configure list重点检查两处：
type -a aws是否列出多个路径。使用过命令行安装程序和 snap 后，可能存在多个安装，需要确认终端实际调用的是哪一个。aws configure list显示的 Region 及其来源是否符合当前登录环境。
AWS 官方文档说明，aws login 使用 AWS Management Console 登录身份获取临时凭证，要求 AWS CLI 版本不低于 2.32.0。原问题没有提供版本号，尚不能排除实际执行的版本与预期不一致。参见 AWS CLI 登录前提。
2. 检查 Region，并重新生成登录链接
可以显式指定适合当前账户环境的 Region，以排除默认配置的影响。例如：
aws login --region us-east-1us-east-1 只是示例，应替换为实际需要且允许访问的 Region，不要把它当作通用修复值。AWS 登录指南也提示，无法连接登录 URL 时，应确认指定的 Region 有效。参见 AWS CLI 控制台凭证登录指南。
每次重试都使用当次命令生成的完整 URL。可以将终端中的链接复制到浏览器，与自动打开的地址对比，检查路径和查询参数是否被截断或改写。
不要公开完整授权链接，其中可能包含与本次登录流程相关的参数。
3. 用浏览器对照测试定位问题
用另一个浏览器或无痕窗口测试新生成的链接。如果换浏览器后能够继续登录，再检查原浏览器的 AWS 站点数据、Cookie 和扩展设置。AWS 的控制台登录排查建议也包括更换浏览器或清理缓存与 Cookie，参见 AWS 登录问题排查。
如果仍然只显示 XML 错误，打开浏览器开发者工具的 Network 面板，重新发起一次登录，记录：
- 返回错误的请求域名和路径。
- HTTP 状态码。
- 错误出现在首次打开页面时，还是某次重定向之后。
- 响应中是否提供 request ID。
这些信息有助于区分授权页面请求失败和后续跳转失败，单凭页面上的异常名称无法判断。
4. 按需测试 --remote
如果怀疑本机回调端口受到防火墙或安全软件限制，可以尝试：
aws login --remote该选项会禁用本地回调服务器，改为提供登录 URL，并要求将浏览器显示的授权码粘贴回终端。AWS 官方将它列为本地 OAuth 回调受到防火墙阻挡时的处理方式。参见 登录故障排查 和 login 命令说明。
--remote 不保证能修复当前 XML 错误。如果它打开的页面仍然返回同样的内容，本地回调端口通常就不是首要排查方向。另外，组织可能分别限制普通登录与远程登录的权限，需要结合权限配置解释测试结果。
5. 收集调试信息，再决定后续处理
运行：
aws login --debug也可以将终端调试输出保存到本地：
aws login --debug 2>aws-login-debug.log浏览器请求失败时，CLI 日志未必会记录页面里的完整错误，应结合 Network 面板一起查看。分享日志前，删除凭证、令牌、授权码、Cookie、完整授权链接及其他敏感信息。
如果问题持续出现，向 AWS Support 或 AWS CLI 项目反馈时，请提供实际执行路径、CLI 版本、Region、发生时间及其时区、浏览器对照结果、HTTP 状态码和脱敏后的请求信息，以便进一步判断问题出在客户端生成请求、浏览器环境、登录端点还是服务端处理。
登录方式不要混用
aws login 和 aws sso login 对应不同的认证流程。如果组织使用 IAM Identity Center，应按该组织的配置使用 SSO。错误发生在登录阶段，并不意味着可以直接套用 SSO 缓存清理方案。两种登录方式的适用条件见 AWS 命令行登录说明。
完成登录后，可以运行以下命令核对当前有效身份是否符合预期：
aws sts get-caller-identity备注：内容仅供参考。