使用NextAuth对接AWS Cognito时access token过期无法刷新如何处理

核心原因 #

默认配置下，NextAuth 只会在首次用户登录时从 Cognito 获取一次 token 信息，不会主动校验 access_token 有效性，也不会在到期前主动触发刷新逻辑，所以你从 jwt callback 拿到的永远是首次生成的旧值。

可行解决方案 #

最常用的是在 jwt callback 中加过期校验和主动刷新逻辑，步骤如下：

• 首次登录获取 Cognito 返回的凭证时，除 access_token 外，必须同步存储 refresh_token、expires_at（计算方式为当前时间戳 + expires_in * 1000，转成毫秒级时间戳方便后续对比）到 JWT payload 中。

  注意：配置 Cognito Provider 时必须在 scope 中添加 offline_access，否则 Cognito 不会返回 refresh_token，无法执行刷新操作。

• 每次 jwt callback 触发时，先对比当前时间和存储的 expires_at：
  • 如果距离过期还有5分钟以上，直接返回原有 JWT 数据即可
  • 如果已临近过期或已经过期，调用 Cognito 刷新 token 接口：发送 POST 请求到 Cognito 用户池的 /oauth2/token 端点，参数携带 grant_type=refresh_token、client_id=你的Cognito客户端ID、refresh_token=你存储的刷新令牌，请求头设置为 Content-Type: application/x-www-form-urlencoded
• 接口返回新的凭证后，更新 JWT payload 中的 access_token、expires_at 字段，如果返回了新的 refresh_token 也同步更新，之后返回更新后的 payload，NextAuth 会自动同步新的凭证到会话中
• 如果刷新请求失败（比如 refresh_token 也已过期），直接返回 null，NextAuth 会自动触发登出逻辑，引导用户重新登录

额外优化建议 #

不要自行将 access_token 存储在 localStorage 中，直接从 NextAuth 提供的 useSession()（客户端）或 getServerSession()（服务端）中取最新的凭证即可，既不用自行维护存储逻辑，也能降低 XSS 攻击风险。

内容的提问来源于stack exchange，提问作者yazpid