aws cognito 在注销时使令牌无效

Question

我无法弄清楚这个问题，但我知道 JWT 令牌是自包含的，有自己的到期时间。 通常，黑名单可能包含“过期”令牌，如果令牌列在那里，则阻止对路由的访问。

我想知道，如果使用 aws cognito 并调用注销端点，那实际上是否将 aws 端的 JWT 令牌列入黑名单？ 有一个访问令牌和一个刷新令牌，那么两者都会失效还是用户仍然可以使用令牌登录，直到达到令牌中的到期时间？

Answer 1

不，不是的。 调用 LogOut 端点将使您与托管 UI/Oauth 端点的任何会话无效。

另一种选择是调用 globalSignOut [1]，这将使所有用户访问和刷新令牌无效（用于 Cognito API）。

但是，JWT 令牌仍然有效，并且正如您所提到的，是自包含的。 没有内置的令牌黑名单，您自己的服务器可以以可扩展的方式检查。 如果需要，这是您需要自己实现的东西。

[1] https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GlobalSignOut.html