AWS Amplify Auth用户删除后未登出仍保持认证状态问题

安全阿岳

2026-8-4

问题解决：AWS Amplify Auth本地缓存导致已删除用户仍显示认证状态

问题原因

Auth.currentAuthenticatedUser()默认优先读取本地缓存的用户数据，不会主动向Cognito服务端校验用户是否存在或令牌是否有效。所以即使你在控制台删除了用户，只要本地缓存没被清除、没有执行显式登出，刷新应用时依然会从缓存读取旧的用户信息，导致显示已认证状态。

解决方案

要解决这个问题，需要强制让Amplify向Cognito服务端验证用户状态，而不是只依赖本地缓存。可以通过以下方式实现：

修改`loadApp`函数，强制从服务端校验用户状态

给Auth.currentAuthenticatedUser()传入{ bypassCache: true }参数，跳过本地缓存直接请求服务端获取最新用户信息：

const loadApp = async () =>{ 
  try {
    const user = await Auth.currentAuthenticatedUser({ bypassCache: true });
    console.log(user);
    signIn(user);
  } catch (err) {
    console.log("用户已失效或未登录", err);
    setUserToken(null);
  }
  setLoading(false);
}

备选方案：结合会话与用户信息双重验证

先获取当前会话令牌，再通过用户ID去服务端拉取最新信息，确保用户在服务端仍处于有效状态：

const loadApp = async () =>{ 
  try {
    const session = await Auth.currentSession();
    const user = await Auth.getUser(session.getIdToken().payload.sub);
    signIn(user);
  } catch (err) {
    console.log("用户已失效或未登录", err);
    setUserToken(null);
  }
  setLoading(false);
}