基于AWS Cognito自定义属性实现3个并发会话控制的方案咨询

你提出的用Cognito自定义属性做登录计数器的方案可以实现基础功能，但存在多个明显缺陷，不建议在生产环境使用：

• Cognito用户属性读写为最终一致性，若用户短时间内发起多次登录请求，很容易出现计数偏差，导致阈值判断失效
• 无法自动处理会话失效场景：用户主动注销、Token过期、设备端登出等场景没有触发计数器递减的时机，运行时间久了计数器会持续虚高，可能出现用户无有效会话却无法登录的问题
• 频繁调用AdminUpdateUserAttributes接口更新用户属性，很容易触发Cognito的接口限流，反而影响正常登录流程

推荐你根据业务场景从以下两种成熟方案中选择：

方案1：Cognito预认证触发器+独立存储（生产首选） #

借助Cognito原生的预身份验证Lambda触发器，配合Redis等高速存储做会话计数，逻辑如下：

• 用户登录成功后，为本次会话生成唯一会话ID，和用户ID绑定存在Redis中，存储的过期时间和Refresh Token有效期保持一致
• 每次用户发起登录请求时，Cognito会先触发预认证Lambda，查询Redis中对应用户的活跃会话数量：
  • 数量小于3则直接放行登录流程，登录完成后将新的会话ID写入Redis
  • 数量大于等于3则直接返回拒绝登录的响应
• 用户主动注销、Token刷新时同步更新Redis中的会话列表，清理已经失效的会话ID

该方案计数准确性高，性能损耗小，不会引入Cognito侧的一致性和限流风险

方案2：Spring Security层拦截实现（适配现有技术栈，无需改动AWS侧配置） #

如果不想额外配置Cognito触发器，也可以完全在你的Java Spring技术栈内实现：

• 在Spring Security的认证流程中新增会话校验逻辑，用户发起登录请求时，先查Redis中该用户的活跃会话数，超过3直接返回403拒绝，未超过再走Cognito认证流程
• 登录成功后，将本次会话的唯一标识写入Redis，配套实现注销接口、Token过期监听逻辑，会话失效时同步清理Redis中的对应记录

该方案改造量小，完全在现有服务逻辑内实现，不需要额外学习AWS Lambda的开发配置

内容的提问来源于stack exchange，提问作者Srs