AWS Pinpoint 允许在未认证的情况下通过 API 更新用户属性。这可能存在安全问题，因为未经身份验证的用户可以访问并更改其他用户的数据。为解决此问题，可以在应用中使用签名密钥来限制访问。这将确保只有具有正确密钥的任何请求才会被处理。

下面是一个使用签名密钥来将设备 token 添加到用户属性的示例：

import boto3
import hashlib

def add_device_token_to_user(user_id, device_token):
    client = boto3.client('pinpoint')
    secret_key = 'my_secret_key' # 使用自己的 secret key
    service_name = 'mobiletargeting'
    region = 'us-west-2' # 使用自己的区域
    date = '20171017' # 使用当前日期
    message = 'POST\n/apps/{}/endpoints\n\ncontent-type:application/json\nx-amz-date:{}\n\ncontent-type;x-amz-date\n'.format(client.app_id, date)
    signature = hashlib.sha256((message + secret_key).encode()).hexdigest()
    headers = {
        'Content-Type': 'application/json',
        'X-Amz-Date': date,
        'Authorization': 'AWS4-HMAC-SHA256 Credential={}/{}us-west-2/mobiletargeting/aws4_request, SignedHeaders=content-type;x-amz-date, Signature={}'.format(client.session.get_credentials().access_key, date, signature)
    }
    
    response = client.update_endpoint(
        ApplicationId=client.app_id,
        EndpointId=user_id,
        EndpointRequest={
            'Attributes': {
                'DeviceToken': device_token
            }
        },
        Headers=headers
    )
    
    print('Response:', response)

在上面的示例中，使用了 HMAC SHA256 加密策略来签名请求。要使用此策略，需要设置密钥和服务名称。然后，构建消息字符串并使用密钥签名。最后，将签名添加到请求标头中，以便在调用客户端 API 时传递。这将确保只有具有正确凭据的请求才能进行更改。