AWS Cognito OAuth2是否支持刷新令牌轮换？.NET SDK无新令牌返回

首先明确回答：AWS Cognito确实支持符合RFC6819规范的Refresh Token Rotation——这个机制的核心就是每次调用刷新令牌接口时，会返回一个全新的刷新令牌，同时旧令牌会被失效，以此检测并阻止非法复用旧令牌获取访问令牌的行为。

你遇到的调用StartWithRefreshTokenAuthAsync没有返回新刷新令牌的问题，大概率是因为你的Cognito用户池未正确启用Refresh Token Rotation配置，下面一步步帮你排查解决：

1. 确认用户池的Refresh Token Rotation配置是否开启 #

要让Cognito返回轮换后的刷新令牌，必须先在用户池的App Client中启用相关设置：

• 登录AWS控制台，进入你的Cognito用户池
• 找到对应的App Client（注意是你在.NET SDK中使用的那个客户端ID对应的应用）
• 查看"Refresh token configuration"（刷新令牌配置）部分：
  • 确保勾选了Rotate refresh tokens选项
  • 建议同时启用Token reuse detection（令牌复用检测），这是RFC6819规范中保障安全的关键环节——如果旧的刷新令牌被重复使用，Cognito会立即吊销所有关联的令牌，防止恶意使用

2. 检查.NET SDK的调用逻辑 #

当用户池配置正确后，调用StartWithRefreshTokenAuthAsync应该会返回包含新刷新令牌的结果。你需要确保正确读取返回的AuthResult对象中的RefreshToken字段：

// 构建刷新请求
var authRequestRefresh = new InitiateRefreshTokenAuthRequest
{
    ClientId = "YOUR_CLIENT_ID",
    RefreshToken = "YOUR_EXISTING_REFRESH_TOKEN"
};

// 执行刷新
var authResult = await user.StartWithRefreshTokenAuthAsync(authRequestRefresh).ConfigureAwait(false);

// 这里应该能获取到全新的刷新令牌
string newRefreshToken = authResult.RefreshToken;

如果还是没有拿到新令牌，可能还有这些原因：

• App Client权限不足：检查App Client的"Allowed auth flows"（允许的认证流）设置，确保包含REFRESH_TOKEN_AUTH或者对应的OAuth刷新流
• 旧令牌已失效：如果你的刷新令牌已经过期、被吊销，或者超过了轮换次数限制，调用刷新接口会返回错误，此时只能重新登录获取新令牌
• SDK版本问题：确保你使用的是最新版的AWSSDK.CognitoIdentityProvider NuGet包，旧版本可能存在兼容性问题，无法正确处理刷新令牌轮换逻辑

总结 #

只要你正确配置了Cognito用户池的Refresh Token Rotation，并且使用正确的SDK调用方式，就能实现符合RFC6819规范的刷新令牌轮换，每次刷新都会拿到新的刷新令牌，无需重新登录。

内容的提问来源于stack exchange，提问作者Peter Wyss