Cognito调用logout端点登出失效 用户仍保持登录状态问题求助

这个登出失效问题是Cognito托管登出流程的常见坑，由三个核心问题共同导致：

1. 你用了301 Moved Permanently状态码做跳转：301是永久重定向，浏览器会本地缓存这个跳转规则，后续用户触发登出时，浏览器会直接跳转到logout_uri地址，根本不会向Cognito的/logout端点发起实际请求，自然不会执行任何登出逻辑。
2. 对Cognito登出端点的能力存在认知偏差：Cognito的/logout端点只会销毁Cognito托管域名下的HttpOnly会话Cookie，不会主动撤销已经颁发给应用的access token、refresh token。这两类token在自身有效期内依然可以正常使用，如果你没有主动清理本地存储的token、也没有主动调用接口撤销，后续请求携带有效token时依然会被判定为登录状态。
3. 部分Cognito应用客户端配置下，logout_uri参数不会触发会话销毁：当你开启了PKCE、或者使用了较新的应用客户端版本时，/logout端点需要携带redirect_uri参数（而非logout_uri）才会执行会话销毁，对应的地址需要配置在「允许的回调URL」列表而非「允许的登出URL」列表。

按以下顺序调整即可解决问题：

• 第一步：把重定向状态码从301改成302临时重定向，避免浏览器缓存跳转规则。修改完先清空浏览器缓存，或者直接用隐私窗口测试，避免之前的301缓存影响验证结果。
• 第二步：在跳转Cognito登出端点之前，先清理本地应用侧的所有登录态：包括用户Session、本地存储/缓存的access token、refresh token。不要等Cognito帮你清理这部分数据，它本身也没有权限清理你应用域名下的存储内容。
• 第三步：如果需要彻底作废已经颁发的refresh token，需要在服务端调用Cognito的RevokeToken接口，传入对应refresh token主动撤销，避免token在有效期内被冒用。
• 第四步：如果调整完以上三点还是不生效，把请求参数里的logout_uri替换成redirect_uri，同时把对应的回调地址加入Cognito应用客户端的「允许的回调URL」列表即可。

修正后的代码示例：

public function logout(): void
{
    // 清理本地应用登录态
    auth()->logout();
    session()->invalidate();
    session()->regenerateToken();

    $params = http_build_query([
        'client_id' => $this->clientId,
        'logout_uri' => 'https://localhost/',
        // 上述参数不生效时替换为下面的redirect_uri配置
        // 'redirect_uri' => 'https://localhost/',
    ]);
    
    // 改用302临时重定向
    resolve('app')->abort(302, '', [
        'Location' => "https://{$this->domain}/logout?$params"
    ]);
}

内容的提问来源于stack exchange，提问作者Martyn Ball