关闭浏览器时如何删除AWS ALB会话Cookie 要求每次访问触发OAuth登录

要实现关闭浏览器后再访问必须重新走OAuth账号密码登录的效果，核心是让AWSELBAuthSessionCookie-0成为会话级Cookie，或者在窗口关闭时主动清除该Cookie，两种可行方案如下：

方案1：调整ALB认证配置（首选，无业务侵入） #

直接修改ALB的会话Cookie配置，从根源上实现Cookie随浏览器关闭自动清除：

• 登录AWS控制台进入EC2服务，找到对应的ALB实例，打开「侦听器」配置页
• 编辑绑定了OAuth认证的侦听器规则，找到认证配置模块
• 在会话Cookie设置中，将「会话超时类型」修改为会话存续期，不要设置固定的超时时长（例如24小时、7天），这一步会让ALB下发的AWSELBAuthSessionCookie-0不携带Expires/Max-Age属性，浏览器会默认将其识别为会话Cookie，关闭浏览器时自动删除
• 保存配置后等待1-2分钟ALB规则生效即可

补充：ALB侧的「非活动超时」配置可以按需保留，仅控制用户在页面持续无操作的会话过期时间，不影响窗口关闭时的Cookie删除逻辑。

方案2：前端脚本兜底（适合无法修改ALB配置的场景） #

如果没有ALB配置权限，可以在业务前端添加监听逻辑主动清除Cookie：

// 监听窗口关闭/标签页关闭事件
window.addEventListener('beforeunload', function() {
  // 替换下方的domain值为你站点的实际域名，和ALB下发Cookie的domain保持一致
  document.cookie = 'AWSELBAuthSessionCookie-0=; Path=/; Domain=your-domain.com; Expires=Thu, 01 Jan 1970 00:00:00 GMT; Secure; SameSite=Lax';
});

• 注意必须严格匹配Cookie的Domain、Path、Secure、SameSite属性，否则删除操作会失效
• 非HTTPS站点需要移除Secure属性，生产环境建议全程使用HTTPS

配置完成后，关闭浏览器再打开访问站点时，ALB检测不到有效认证Cookie，会直接重定向到OAuth登录页要求输入账号密码，不会触发隐式登录。

内容的提问来源于stack exchange，提问作者VIJ