Web应用基于aws-amplify使用Cognito处理同账号多端同时登录问题

你之前查到的Flutter端相关讨论里的核心逻辑完全可以适配Web端，Cognito的会话管控能力是服务端通用的，和客户端框架无关，只是JS版aws-amplify的API写法和Flutter版有区别，下面对应你的两个需求给可落地的实现路径：

方案1：新设备登录自动注销其他所有设备活跃会话 #

• 前置配置：先打开Cognito对应用户池应用客户端的「启用令牌撤销」开关，确保所有签发的Access Token、Refresh Token支持主动作废。
• 登录逻辑改造：不要在signIn接口调用成功后直接跳转业务页，在身份校验通过后，优先调用全局登出逻辑清理该账号所有历史会话：
  • 不建议前端直接调用用户权限的globalSignOut方法，这个接口会把刚登录的当前设备会话也一并作废，处理顺序容易出问题
  • 推荐在Amplify Lambda或者自有后端封装AdminUserGlobalSignOut接口，前端登录校验通过后请求这个接口，传入当前登录的用户名，由服务端携带管理员权限调用Cognito能力作废该账号所有现存有效令牌，接口返回成功后前端再完成当前会话的本地持久化、跳转业务页即可
• 全局会话失效拦截：在React应用入口用Amplify的Hub工具监听auth频道事件，捕捉到令牌刷新失败、被动登出事件时，直接清理本地登录缓存，跳转登录页并提示「账号已在其他设备登录，当前会话已失效」。其他设备的会话在下次触发令牌刷新、接口请求校验时就会自动触发这个拦截，不需要额外做实时推送。

方案2：新设备登录时弹窗提示，由用户选择登录策略 #

这个方案需要额外维护一份用户活跃会话的映射关系，Cognito本身不直接提供查询用户所有活跃会话的能力，需要自己实现：

• 存储层准备：用DynamoDB或者自有数据库存用户会话记录，字段包含用户ID、设备唯一标识、会话签发时间、最后活跃时间，设置自动过期规则清理超过Refresh Token有效期的无效记录。
• 设备标识生成：前端首次加载时生成唯一设备指纹，结合浏览器特征+本地持久化的随机UUID生成，存在localStorage里，同设备多次访问标识不变，避免把同设备的多标签页误判为不同设备。
• 登录流程改造：
  1. 用户输入账号密码完成身份校验后，先不签发当前设备会话，查询会话表判断该用户是否存在其他有效设备的活跃记录
  2. 没有其他活跃会话的话直接走正常登录流程，写入当前设备的会话记录即可
  3. 存在其他活跃会话的话，前端暂停登录流程弹出确认框，提示：当前账号已在其他设备存在活跃会话，选择「继续登录」将注销其他设备的所有会话，选择「取消」将保留其他设备会话并退出本次登录
  4. 用户选择继续登录：调用方案1里的全局登出接口清理所有旧会话，删除会话表里的旧记录，写入当前设备的新会话记录，完成登录跳转
  5. 用户选择取消：直接清空当前登录流程的临时凭证，返回登录页即可
• 日常维护：每次用户触发令牌刷新、接口请求时，同步更新会话表里对应记录的最后活跃时间，避免误判长期不活跃的会话为有效会话。

注意事项 #

• 所有带Admin权限的Cognito接口不要直接在前端调用，必须走服务端/Amplify Function做代理，加好权限校验，只允许操作当前已完成身份核验的用户的会话，避免出现越权风险。
• 不需要额外做WebSocket类的实时踢下线推送，Cognito的令牌本身有有效期，配合前端的请求拦截、令牌刷新失败监听，最多在旧设备令牌有效期（默认最短5分钟）内就会完成登出，绝大多数业务场景都能接受，如果需要秒级踢下线，可以在业务接口的请求拦截里额外加一层会话表校验，每次请求都查一下当前设备的会话是否还在有效记录里，不在的话直接返回未登录状态码即可。

内容的提问来源于stack exchange，提问作者elita185