如何使用NextAuth.js和AWS Cognito彻底销毁客户端会话

原因分析 #

这个问题核心是Amazon Cognito会保留用户会话缓存，而默认的signOut仅清除了NextAuth本地会话，未触发Cognito端的彻底注销，同时浏览器中残留的Cognito会话Cookie也会导致再次登录时自动复用旧会话。

解决方案 #

1. 配置NextAuth触发Cognito端彻底注销 #

修改[...nextauth].ts，添加注销配置并指定Cognito的会话清理逻辑：

import NextAuth from 'next-auth';
import CognitoProvider from 'next-auth/providers/cognito';

export const authOptions = {
  providers: [
    CognitoProvider({
      clientId: process.env.COGNITO_CLIENT_ID || '',
      clientSecret: process.env.COGNITO_CLIENT_SECRET || '',
      issuer: process.env.COGNITO_ISSUER_URL,
    }),
  ],
  debug: process.env.NODE_ENV !== 'production' ? true : false,
  // 配置注销回调与会话策略
  logout: {
    callbackUrl: 'http://localhost:3000', // 注销后跳转地址，需在Cognito客户端配置中添加
    redirect: true,
  },
  session: {
    strategy: 'jwt', // 使用JWT模式避免服务器端会话残留
  },
};

export default NextAuth(authOptions);

同时要在Amazon Cognito控制台的应用客户端设置中，将Sign out URL(s)添加为上述callbackUrl，否则Cognito会拒绝跳转。

2. 更新前端signOut调用，清除本地所有会话数据 #

修改Home组件中的注销按钮逻辑：

<a
  onClick={() => {
    signOut({
      callbackUrl: 'http://localhost:3000',
      redirect: true,
    });
  }}
>
  Log out
</a>

3. 强制登录时跳过缓存，重新验证用户 #

在signIn调用中添加prompt: 'login'参数，强制Cognito显示登录表单：

<a
  onClick={(event) => {
    event.preventDefault();
    signIn('cognito', {
      callbackUrl: 'http://localhost:3000',
      prompt: 'login', // 忽略缓存，强制要求输入凭据
    });
  }}
>
  Sign In
</a>

4. 验证Cookie清理效果 #

注销后打开浏览器开发者工具（Application标签），检查是否存在CognitoIdentityServiceProvider_开头的Cookie，确认配置生效后这类Cookie会被自动清除。

验证流程 #

1. 登录应用确认会话正常；
2. 点击注销，确认跳回首页且会话状态变为unauthenticated；
3. 立即点击登录链接，确认Cognito显示登录表单，需重新输入凭据。

内容的提问来源于stack exchange，提问作者user1248224