React Native应用AWS Cognito“记住我”功能：丢弃刷新令牌是否安全有效？

我拥有基于AWS后端的React Native和React Native Web前端应用，采用AWS Cognito实现认证功能。部分用户使用公共电脑，这类用户在登录时若将“remember me”选项设为false，其认证令牌需在1小时内过期。

遇到的问题：

• 无法在AWS中将刷新令牌过期时间设置为60分钟，否则会影响所有用户；
• AWS Cognito官方的“设备追踪与记忆”文档仅适用于2FA场景；
• 若通过前端监控令牌创建时间并在1小时后登出，黑客可能在登出前获取认证令牌。

核心疑问：尽管AWS Amplify是定制空间有限的高层库，但我能否直接丢弃refresh token？该方案是否有效且具备安全性？

直接丢弃refresh token是可行且安全的，具体细节如下：

1. 核心逻辑适配需求
   当用户选择“remember me = false”时，丢弃refresh token后，用户只能依赖当前的ID Token和Access Token。只要你把这两个令牌的过期时间配置为1小时（可在Cognito用户池的应用客户端设置里调整），令牌到期后无法通过refresh token续期，就会强制用户重新登录，完美匹配公共电脑用户的短期会话需求。

2. 安全性有保障
   就算黑客在1小时内获取到有效令牌，也只能在过期前使用，符合你对风险控制的预期。而且丢弃refresh token后，黑客没有了续期凭证，无法长期盗用会话，反而降低了潜在的安全风险。

3. Amplify的适配操作
   虽然Amplify是高层封装库，但你可以在登录成功后手动移除refresh token：

   • React Native端：Amplify默认将令牌存在AsyncStorage，在Auth.signIn的回调中获取会话信息后，删除存储的refresh token条目；
   • Web端：令牌通常存在localStorage或sessionStorage，登录后直接清理对应refresh token的键值对即可。

4. 额外优化建议

   • 确认Cognito用户池里的ID Token和Access Token过期时间已设为1小时，避免默认时间过长；
   • 针对选择“remember me = true”的用户，保留refresh token，正常使用Amplify的自动令牌刷新逻辑；
   • 前端可以监听令牌过期事件，在令牌快到期时给用户提示，避免操作中途突然登出影响体验。

内容的提问来源于stack exchange，提问作者bieboebap