AWS Cognito集成Google联合身份：自动登录旧用户，需强制账号选择

我之前碰到过完全一样的问题，折腾了好一阵才找到几个靠谱的解决方案，分享给你：

方法1：配置Cognito Google身份提供商的自定义认证参数（推荐） #

这是一劳永逸的全局配置方式，让Cognito每次向Google发起认证请求时自动带上prompt: select_account参数：

1. 登录AWS控制台，进入你的Cognito用户池
2. 切换到Identity providers标签页，选择你已配置的Google身份提供商
3. 在Authorization parameters区域，点击「Add parameter」
4. 填写参数键为prompt，参数值为select_account
5. 保存配置

之后不管是通过Hosted UI还是自定义跳转，Cognito都会自动把这个参数传递给Google，强制弹出账号选择界面，完全不需要修改前端代码。

方法2：手动构造登录URL时添加prompt参数 #

如果暂时无法修改Cognito的IdP配置，可以在前端跳转登录页时手动拼接参数：

原来的Cognito登录URL可能是这样的：

https://mydomain.auth.us-east-1.amazoncognito.com/login?response_type=code&client_id=YOUR_CLIENT_ID&redirect_uri=YOUR_REDIRECT_URI

现在在末尾加上&prompt=select_account，变成：

https://mydomain.auth.us-east-1.amazoncognito.com/login?response_type=code&client_id=YOUR_CLIENT_ID&redirect_uri=YOUR_REDIRECT_URI&prompt=select_account

用户点击登录按钮时，跳转到这个拼接后的URL即可。Google会识别这个参数，强制显示账号选择界面，不管之前有没有登录过Google账号。

方法3：优化登出流程，清除Google会话残留 #

有时候问题出在浏览器还保留着Google的登录会话——即使Cognito登出了，Google那边还是处于登录状态，导致自动跳转。可以在登出时同时清除Google的会话：

1. 先调用Cognito的登出端点完成Cognito侧的登出：

https://mydomain.auth.us-east-1.amazoncognito.com/logout?client_id=YOUR_CLIENT_ID&logout_uri=YOUR_LOGOUT_REDIRECT_URI

2. 在登出后的回调页面中，通过以下方式清除Google会话：
   • 可以跳转至Google的登出页面：https://accounts.google.com/logout，之后再跳回你的应用首页
   • 或者在页面中嵌入一个隐藏的iframe，src指向Google的登出URL，这样可以在不离开应用的情况下清除会话（注意跨域限制）

不过这个方法会让用户完全登出Google的所有账号，可能不是所有场景都适用，需要根据你的需求权衡。

内容的提问来源于stack exchange，提问作者Curious Explorer