配置ADFS作为SAML身份提供商的Cognito登出功能异常

我之前也碰到过类似的Cognito + ADFS联合身份登出失效的问题，结合官方文档和踩坑经验，给你几个排查和解决的方向：

• 确保在用户池的App client settings中，Logout URL(s)已经准确添加了你使用的http://yahoo.com（或实际业务的前端回调地址）。注意Cognito对这个URL的校验非常严格，协议、域名、路径甚至大小写都必须和请求里的logout_uri完全一致，差一点都不行。
• 同时确认该App client的Allowed OAuth Flows里包含了你的业务使用的授权类型（比如Authorization code grant或Implicit grant），登出流程依赖这些授权配置才能正常触发。

Cognito默认登出只会清除自身会话，但ADFS的用户会话还会保留，这是很多人踩坑的点：

• 在Cognito用户池的Identity providers -> 你的ADFS提供商配置里，务必设置Logout URL为ADFS的官方登出地址，一般格式是https://<你的ADFS域名>/adfs/ls/?wa=wsignout1.0。
• 还要在ADFS管理端，把Cognito的登出回调地址添加到对应信任方的Logout URL列表中，这样ADFS完成自身会话清除后，会跳回Cognito，再最终导向你指定的logout_uri。

你发起的请求里用了&作为参数分隔符，这是HTML转义后的字符，实际应该用原始的&：
正确的请求URL格式应该是：

https://my-domain.auth.us-west-2.amazoncognito.com/logout?client_id=63...ng&logout_uri=http%3A%2F%2Fyahoo.com

（注：logout_uri的URL编码是必要的，确保特殊字符被正确解析）

不要用AJAX发起登出请求！因为302跳转在AJAX请求中不会被浏览器自动处理，只会拿到响应头但不会实际执行跳转，导致会话无法清除。
正确的做法是让浏览器直接跳转登出URL，比如在AngularJS里用：

$window.location.href = 'https://my-domain.auth.us-west-2.amazoncognito.com/logout?client_id=63...ng&logout_uri=http%3A%2F%2Fyahoo.com';

这样浏览器会完整处理302跳转链，走完Cognito和ADFS的双重登出流程。

登出操作后，检查浏览器的Cognito相关Cookie（比如命名为CognitoIdentityServiceProvider_<client-id>_<username>的Cookie）是否被清除；同时可以直接访问ADFS的登出URL，验证ADFS端的会话是否也能正常销毁。

内容的提问来源于stack exchange，提问作者sharpthor