AWS Cognito AdminUserGlobalSignOut不会使Cognito cookie无效？

Question

我正在使用Cognito提供的Web UI表单,用户使用OAuth流登录我们的站点.

我们有一个用例,用户应该跨浏览器注销所有登录会话.

看看这些文档,似乎AdminUserGlobalSignOut正是我们所追求的.但是,在调用之后,为foo.auth.us-east-1.amazoncognito.com保存的"cognito"浏览器cookie仍然有效.下次用户加载https://foo.auth.us-east-1.amazoncognito.com/oauth2/authorize时,它们会被转发到回调网址,就好像它们已经过身份验证而不是重定向到foo.auth.us -east-1.amazoncognito.com/login.

我认为这是因为调用AdminUserGlobalSignOut不会使cookie失效,但这似乎是此方法的确切目的.

这是一个错误还是我错过了将用户全局注销所需的内容？

Answer 1

我知道现在回答有点晚了，但我认为这是因为 Token 和 Cookie 是相互独立的。

我认为这是预期的行为，因为 AdminUserGlobalSignOut API 只是撤销刷新令牌的功能，而不是使 Cognito 发出的 cookie 无效的功能。

另外，据我所知，没有 API 可以禁用 Cognito 发出的 cookie。我想您必须使用每个注销端点。

配置用户池应用程序客户端 - Amazon Cognito
https://docs.aws.amazon.com/cognito/latest/developerguide/user-pool-settings-client-apps.html

重要的

如果您使用托管 UI 并设置令牌不到一小时，最终用户将能够根据其当前固定为一小时的会话 cookie 获取新令牌。

AdminUserGlobalSignOut - Amazon Cognito 身份提供商
https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_AdminUserGlobalSignOut.html

以管理员身份从所有设备注销用户。它还会使颁发给用户的所有刷新令牌失效。用户当前的访问权限和 Id 令牌在过期之前保持有效。访问令牌和 Id 令牌将在颁发后一小时过期。

注销端点 - Amazon Cognito https://docs.aws.amazon.com/cognito/latest/developerguide/logout-endpoint.html