Next.js集成AWS Cognito会话过期临时方案，寻求更优解决方案

核心问题复盘 #

• 你通过NextAuth配置了3分钟过期的JWT Cookie，配合保活机制实现用户停留时维持会话，但Cognito托管UI的会话Cookie（以CognitoIdentityProvider开头）硬编码1小时过期，无法通过控制台或API修改。
• 用户关闭浏览器5分钟后重新打开应用，本地JWT已过期触发重定向到Cognito，但Cognito会话Cookie仍有效，直接静默授权返回新Token，无法强制用户重新认证。

优化方案（替代现有繁琐的登出→登录跳转流程） #

方案1：利用OIDC的prompt=login参数强制Cognito要求重新认证

直接在NextAuth的Cognito provider配置中添加prompt=login参数，让Cognito忽略现有会话Cookie，强制展示登录页面，无需先执行登出操作。

修改NextAuth配置代码：

import NextAuth from "next-auth";
import CognitoProvider from "next-auth/providers/cognito";

export default NextAuth({
  providers: [
    CognitoProvider({
      clientId: process.env.COGNITO_CLIENT_ID,
      clientSecret: process.env.COGNITO_CLIENT_SECRET,
      issuer: process.env.COGNITO_ISSUER,
      authorization: {
        params: {
          prompt: "login", // 关键参数：强制Cognito要求用户重新输入凭证
          scope: "openid email profile", // 保留原有权限范围
        },
      },
    }),
  ],
  session: {
    strategy: "jwt",
    maxAge: 180, // 保持3分钟的会话过期配置
  },
  // 其他现有配置（如回调、Cookie设置等）...
});

• 原理：符合OIDC标准的prompt=login参数会强制身份提供商忽略当前用户会话，直接进入登录流程。
• 优势：无需额外的登出跳转，流程简洁直接，完全适配你的需求。
• 注意：若用户主动登出应用，需确保同时调用Cognito的登出接口清除其会话Cookie，避免后续触发静默授权。

方案2：通过signIn回调精准控制强制登出场景

在NextAuth的signIn回调中，检查用户上次活跃时间，仅当超过3分钟阈值时，才触发Cognito登出，减少不必要的跳转。

示例代码：

export default NextAuth({
  // 其他基础配置...
  callbacks: {
    async signIn({ user, account, token }) {
      const now = Date.now();
      // 从JWT中获取上次活跃时间（首次登录时自动初始化）
      const lastActive = token?.lastActive || now;
      
      // 超过3分钟未活跃则触发Cognito登出
      if (now - lastActive > 180000) {
        const logoutUrl = new URL(`${process.env.COGNITO_ISSUER}/logout`);
        logoutUrl.searchParams.set('client_id', process.env.COGNITO_CLIENT_ID);
        logoutUrl.searchParams.set('logout_uri', `${process.env.NEXTAUTH_URL}/api/auth/signin`);
        
        // 重定向到Cognito登出页面，完成后回到应用登录页
        return Promise.reject(logoutUrl.toString());
      }
      return true;
    },
    async jwt({ token }) {
      // 每次刷新JWT时更新活跃时间
      token.lastActive = Date.now();
      return token;
    },
  },
});

• 原理：仅在用户确实超出会话有效期时才执行登出，避免每次登录都触发冗余跳转。
• 优势：精准控制强制登出的场景，兼顾用户体验与安全性。

方案3：尝试调整Cognito应用客户端的会话时长

虽然Cognito托管UI的会话Cookie过期时间硬编码为1小时，但可以尝试在Cognito控制台的应用客户端设置中，将「OAuth 2.0 会话时长」调整为3分钟。

• 注意：该设置主要影响id_token和access_token的过期时间，部分场景下可能会联动失效Cognito的会话Cookie，建议实际测试验证效果。

方案对比 #

内容的提问来源于stack exchange，提问作者Ezra Friedlander