Azure AD SSO+Cognito新标签页登录状态保持问题咨询

AI 小北

2026-6-15

新标签页登录状态丢失问题排查方向

核心问题定位

当前系统采用Azure AD + AWS Cognito认证，新标签页打开后登录状态丢失，结合代码来看，主要问题集中在会话存储隔离、刷新令牌复用逻辑、页面初始化校验逻辑这几个环节，以下是具体排查方向：

你的useAuthStore使用了sessionStorage作为持久化存储：

storage: createJSONStorage(() => sessionStorage),

sessionStorage是标签页级别的隔离存储，新标签页无法读取原有标签页的sessionStorage数据，导致新标签页打开时，authStore中的refreshToken、isAuthenticated等状态全部重置为初始值，无法触发令牌刷新。

排查/修复建议：

将存储改为localStorage（注意XSS风险，需确保页面无注入漏洞）：
```
storage: createJSONStorage(() => localStorage),
```
或者实现跨标签页状态同步：监听storage事件，当其他标签页更新auth状态时，同步当前标签页的store数据。

当前前端的refreshAccessToken方法完全依赖authStore中存储的refreshToken，但后端已经将refreshToken写入了httpOnly Cookie：

response.cookie(REFRESH_TOKEN, refreshToken, {
  expires: expirationDate,
  sameSite: 'lax',
  httpOnly: true,
});

httpOnly Cookie无法被前端JS读取，但可以在请求时自动携带。但你的前端刷新逻辑没有利用这个Cookie，而是依赖前端存储的refreshToken，导致新标签页没有refreshToken时无法发起刷新请求。

排查/修复建议：

调整后端提供一个令牌刷新接口，前端调用该接口时，后端自动读取httpOnly Cookie中的refreshToken，返回新的accessToken/idToken，无需前端传递refreshToken。
修改前端refreshAccessToken逻辑，改为调用后端的刷新接口，而非直接请求Cognito的token端点。

AuthProvider中的第二个useEffect仅在accessToken为空且refreshToken存在时才触发刷新：

if (accessToken || !refreshToken || refreshTokenRef.current) return;

新标签页打开时，refreshToken从sessionStorage中丢失，导致这个逻辑直接跳过，无法触发任何登录状态校验。

排查/修复建议：

页面初始化时，先检查浏览器中是否存在后端设置的USER_ID或REFRESH_TOKEN Cookie（通过document.cookie可查看httpOnly Cookie的存在性，虽无法读取值），如果存在Cookie，说明用户之前登录过，调用后端刷新接口获取新令牌。
补充未登录状态的兜底逻辑：如果校验失败，引导用户重新登录。

后端设置的Cookie存在以下潜在问题：

response.cookie(REFRESH_TOKEN, refreshToken, {
  expires: expirationDate,
  sameSite: 'lax',
  httpOnly: true,
});

缺少secure: true：如果应用部署在HTTPS环境下，必须设置secure: true，否则Cookie不会被浏览器在HTTPS请求中携带，导致后端无法读取。
未设置domain：如果应用存在子域名场景（比如app.example.com和admin.example.com），需要设置domain: '.example.com'，否则Cookie无法在子域名间共享。
sameSite属性：如果认证流程涉及跨域跳转，lax可能不够，可根据实际情况调整为none（但需配合secure: true）。

内容的提问来源于stack exchange，提问作者codernoob8