AWS Cognito配合React Native如何实现新设备登录自动登出旧设备

Cognito 原生提供的GlobalSignOut接口会作废账号下所有refresh token、清除全量设备登录态，确实没法直接实现「保新踢旧」的需求，你可以通过给登录流程加一层设备绑定校验的逻辑实现，不需要改动Cognito核心鉴权逻辑，落地成本很低：

核心实现步骤 #

• 第一步：生成稳定的设备唯一标识
  应用首次安装启动时，通过react-native-device-info的getUniqueId()方法获取设备唯一ID，存在@react-native-async-storage/async-storage本地，记为currentDeviceId，这个ID不会随应用重启、清除缓存变化，作为当前设备的唯一身份凭证。

• 第二步：改造登录流程，绑定当前有效设备
  给Cognito用户池新增一个自定义用户属性custom:active_device_id，配置Cognito Post Authentication 触发器绑定Lambda函数：每次用户账号密码校验通过、签发token前，自动把该用户的custom:active_device_id值更新为本次登录请求携带的currentDeviceId。

  注意：不要把这个属性的写权限开放给普通客户端，所有更新操作都通过服务端/Lambda完成，避免恶意篡改绕过限制。
  这一步不要调用Cognito原生的GlobalSignOut接口，避免把新登录设备的token同时作废。

• 第三步：双维度校验登录态，自动踢下线旧设备
  两种校验方式组合使用，兼顾安全性和体验：

  1. 接口层硬校验：给所有业务请求加拦截器，每次请求携带本地存的currentDeviceId，在API网关授权器/业务后端校验逻辑里，比对请求携带的设备ID和Cognito中存储的custom:active_device_id，如果不一致直接返回401状态码+自定义错误码DEVICE_MISMATCH。客户端收到该错误后直接清空本地所有登录缓存（accessToken、refreshToken、用户信息等），跳转登录页并提示「账号已在其他设备登录，当前设备已自动退出」。
  2. 长连接实时推送：如果需要做到旧设备在前台打开时立刻感知被踢，不需要等触发业务请求才跳转，可以接入WebSocket长连接服务，当新设备登录完成、active_device_id更新后，给该账号关联的其他在线设备推送强制下线消息，客户端收到消息后直接执行登出逻辑，体验更流畅。

• 第四步：补全token刷新场景的校验
  在Cognito token自动刷新的逻辑分支里加一层判断：每次触发refresh token换新版access token前，先拉取一次用户的custom:active_device_id，如果和本地存储的设备ID不匹配，直接终止刷新流程，清空本地缓存跳转登录页，避免旧设备靠长期有效的refresh token绕过校验保持登录。

核心客户端逻辑参考 #

import AsyncStorage from '@react-native-async-storage/async-storage';
import axios from 'axios';

// 业务请求客户端
const apiClient = axios.create({ baseURL: '你的业务服务域名' });

// 响应拦截器处理被踢场景
apiClient.interceptors.response.use(
  res => res,
  async err => {
    const status = err.response?.status;
    const errCode = err.response?.data?.code;
    if (status === 401 && errCode === 'DEVICE_MISMATCH') {
      // 清空本地所有登录态缓存
      await AsyncStorage.multiRemove(['accessToken', 'refreshToken', 'userInfo', 'currentDeviceId']);
      // 跳转登录页
      navigation.replace('Login', {
        toast: '您的账号已在其他设备登录，当前设备已自动退出'
      });
    }
    return Promise.reject(err);
  }
);

常见问题说明 #

• Cognito自带的「记住设备」功能是为MFA二次验证、免密登录场景设计的，没有提供按设备维度作废会话的能力，没法直接用来实现单设备登录规则。
• 如果遇到用户卸载重装应用导致设备ID变化的情况，只需要在用户主动点击登出按钮时，通过服务端把对应用户的custom:active_device_id清空即可，下次登录会自动绑定新的设备ID，不会出现无法登录的问题。

内容的提问来源于stack exchange，提问作者Shaista Aman