Expo环境下如何退出AWS Cognito联合身份会话清除第三方登录态

算力阿峰

2026-9-1

问题背景

从aws-amplify引入{ Auth }模块后，可通过两种方式登录AWS Cognito会话：

用户名密码登录
第三方联合身份登录

对应实现代码：

// 用户名密码登录
Auth.signIn({ username: email, password: password})

// 联合身份登录，provider可选Google、SignInWithApple、Facebook
Auth.federatedSignIn({ provider: 'Google' });

常规Cognito会话退出代码非常简单：

Auth.signOut();

当前场景使用expo-web-browser启动应用内浏览器会话，未跳转至外部Safari/Chrome等系统浏览器窗口。

现存问题

调用Auth.signOut()仅会清除本地存储的Cognito会话状态，不会撤销Google/Apple/Facebook侧的有效登录令牌。下次执行Auth.federatedSignIn({ provider: 'Google' })时，会直接复用应用内浏览器留存的第三方登录态，无需用户重新输入账号信息。
这个问题会导致两个核心影响：

用户通过第三方账号登录后，无法切换同平台的其他账号登录
测试人员无法重置登录态，难以调试联合身份首次登录场景的问题

已验证无效的方案：

直接通过fetch请求Cognito登出端点：
Cognito官方提供的登出端点格式如下：

GET https://mydomain.auth.{region}.amazoncognito.com/logout?
client_id={CLIENT_ID}&
logout_uri=https://myclient/logout

实际在登出逻辑中发起如下fetch请求时没有任何效果：

fetch('https://{MY_DOMAIN}.auth.us-west-2.amazoncognito.com/logout?client_id={CLIENT_ID}&redirect_uri=exp://127.0.0.1:19000&response_type=code', {
        method: 'GET',
    })

执行expo r -c清除开发服务器缓存：操作后第三方联合身份的Cookie仍然留存，依旧会触发自动登录。
等待expo-web-browser官方Cookie清除能力：经确认该功能曾进入开发计划，但最终未通过代码评审，没有正式上线。

可行解决方案

以下方案在Expo SDK 35版本已验证可用，可彻底清除应用内留存的Cognito及第三方联合登录会话：

通过expo-web-browser打开Cognito登出端点，不要用fetch请求
fetch请求无效的核心原因是：fetch运行在JS运行时，无法访问/修改应用内浏览器的Cookie存储，必须通过浏览器实例打开登出地址，才能触发Cognito和第三方身份源的Cookie清除逻辑。
实现代码：
```
import * as WebBrowser from 'expo-web-browser';
import { Auth } from 'aws-amplify';

const handleSignOut = async () => {
  // 第一步：清除本地Amplify存储的Cognito会话
  await Auth.signOut();
  // 替换为你实际的Cognito域名、区域、客户端ID、应用回调地址
  const logoutUrl = `https://{YOUR_COGNITO_DOMAIN}.auth.{REGION}.amazoncognito.com/logout?client_id={YOUR_CLIENT_ID}&logout_uri=${encodeURIComponent('exp://127.0.0.1:19000')}`;
  // 第二步：用应用内认证会话打开登出地址，完成Cookie清除后自动关闭
  await WebBrowser.openAuthSessionAsync(logoutUrl, 'exp://127.0.0.1:19000');
};
```
注意事项：
- 地址参数必须用logout_uri，不要写错成调试时用的redirect_uri
- 配置的logout_uri必须提前在Cognito用户池对应应用客户端的配置中，加入允许的登出回调地址列表
- openAuthSessionAsync在iOS端使用独立的认证会话沙箱，不会和系统Safari的Cookie存储互通，不会影响用户在系统浏览器中留存的第三方账号登录状态，符合应用内登录的交互预期

开发调试场景补充处理
如果开发环境下执行上述逻辑后仍有残留登录态，可以在登出逻辑末尾追加会话重置代码：

// 关闭当前认证会话
await WebBrowser.dismissAuthSession();
// 仅开发环境调用，冷却重置WebBrowser实例
if (__DEV__) {
  await WebBrowser.coolDownAsync();
}

Apple登录特殊适配
由于Apple ID的会话Cookie为独立存储策略，如果接入了Sign in with Apple，需要在登出时额外通过WebBrowser打开Apple的登出端点https://appleid.apple.com/auth/logout，完成后再跳转回应用回调地址，即可彻底清除Apple侧的登录态。

内容的提问来源于stack exchange，提问作者Shep Sims