如何登出Cognito用户并撤销Id Token，防止AWS IoT未授权访问？

我之前也碰到过一模一样的问题——cognitoUser.signOut()看起来像是完成了登出，但缓存的Token和身份池凭证还能偷偷用来连IoT。要彻底解决这个问题，得从客户端清理、服务端Token失效、IoT连接销毁这几个维度同时下手：

1. 清空客户端所有Cognito缓存数据 #

默认的signOut()只清理了当前会话的内存数据，本地存储里的Token和凭证还在。得针对性清理：

• 如果你用AWS Amplify：直接调用Auth.signOut({ global: true })，这个方法会彻底删除本地存储的Id Token、Access Token、Refresh Token，还能让用户在其他设备上的会话也失效（前提是用户池配置了全局登出）。
• 如果你用原生Cognito JS SDK：除了cognitoUser.signOut()，还要手动清除身份凭证缓存：

  // 清除Cognito身份凭证缓存
  AWS.config.credentials.clearCachedId();
  // 删除本地存储里的Cognito相关键值对（示例）
  const userPoolId = '你的用户池ID';
  const username = '当前用户名';
  localStorage.removeItem(`CognitoIdentityServiceProvider.${userPoolId}.${username}.idToken`);
  localStorage.removeItem(`CognitoIdentityServiceProvider.${userPoolId}.${username}.refreshToken`);
  

2. 主动撤销Cognito Token（服务端失效） #

客户端清理后，还要让服务器端的Token直接失效，防止已经泄露的Token被滥用。调用Cognito的RevokeToken API：

const { CognitoIdentityServiceProvider } = require('aws-sdk');
const cognitoISP = new CognitoIdentityServiceProvider({ region: '你的区域' });

// 传入用户的Refresh Token和用户池客户端ID
cognitoISP.revokeToken({
  Token: '用户的Refresh Token',
  ClientId: '你的用户池客户端ID'
}, (err, data) => {
  if (err) console.error('Token撤销失败:', err);
  else console.log('Token已成功撤销');
});

注意：要先在用户池客户端设置里开启「允许Token撤销」的权限，否则这个API会报错。

3. 立即断开并销毁AWS IoT连接 #

用户登出时，必须主动切断当前IoT连接，并且销毁客户端实例，避免后续复用旧凭证：

• 如果用AWS IoT Device SDK for JavaScript：

  // 断开MQTT连接
  mqttClient.end(true); // true参数表示强制断开，不等待未发送消息
  // 销毁客户端实例，清除凭证引用
  mqttClient = null;
  AWS.config.credentials = null;
  

  下次用户登录时，再重新初始化IoT客户端，用新的凭证建立连接。

4. 限制身份池短期凭证的风险 #

身份池的临时AWS凭证（Access Key、Secret Key、Session Token）默认有1小时有效期，没法主动撤销，但可以通过IAM策略降低风险：

• 在身份池关联的IAM角色策略里，添加条件验证Cognito Token的有效性：

  {
    "Effect": "Allow",
    "Action": "iot:*",
    "Resource": "*",
    "Condition": {
      "StringEquals": {
        "cognito-identity.amazonaws.com:aud": "你的身份池ID"
      },
      "NotEqualTo": {
        "cognito-identity.amazonaws.com:sub": "已登出用户的sub"
      }
    }
  }
  

  这样即使有未过期的临时凭证，也无法再访问IoT资源。

5. 额外的安全加固 #

• 缩短Token有效期：把用户池的Id Token、Access Token有效期设为15分钟以内，Refresh Token设为可回收，让缓存Token的失效速度更快。
• IoT规则层验证：在IoT规则里添加自定义验证，检查请求携带的Token是否有效（比如通过Cognito的GetUser API验证Token合法性）。

这套组合操作下来，就能确保用户登出后，既拿不到新的凭证，也没法用旧凭证继续访问AWS IoT了。

内容的提问来源于stack exchange，提问作者Mitch Lee