Vercel部署的MERN应用登出后Cookie未删除，刷新自动登录求助

问题核心 #

部署在Vercel的MERN应用执行登出操作后，刷新页面会自动重新登录，排查发现Cookie未被删除，但本地环境下该功能正常。已尝试设置expires: new Date(0)、添加domain/path属性等方案，均未解决问题。

针对性解决步骤 #

1. 严格匹配Cookie的所有属性 #

浏览器删除Cookie的前提是登出时设置的Cookie属性与登录时完全一致，包括domain、path、secure、sameSite等。如果登录时未指定domain，登出时也不要添加；如果登录时path是/api，登出时必须保持一致。

2. 替换expires为maxAge: 0 #

部分浏览器对new Date(0)的解析存在兼容性问题，改用maxAge: 0可直接告知浏览器立即删除Cookie：

exports.logout = catchAsyncError(async (req, res, next) => {
  res.cookie('token', '', {
    maxAge: 0,
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production',
    sameSite: process.env.NODE_ENV === 'production' ? 'None' : 'Lax',
    path: '/' // 与登录时的path保持一致
  });

  res.status(200).json({
    success: true,
    message: "logged out"
  });
});

3. 检查Vercel环境的domain配置 #

• 使用Vercel默认域名（如xxx.vercel.app）时，无需手动指定domain，浏览器会自动匹配当前域名；
• 使用自定义域名时，需将domain设为你的顶级域名（如yourdomain.com），注意不要添加http/https前缀；
• 避免使用通配符域名（如.vercel.app），部分浏览器会拒绝这类跨域Cookie设置。

4. 确认CORS与跨域凭证配置 #

若前端与后端部署在不同域名，需确保：

• 后端CORS配置开启credentials: true；
• 前端请求时携带withCredentials: true（如Axios中设置该参数）；
• CORS的origin设置为前端的具体域名，而非*。

5. 前端配合强制刷新 #

在收到登出成功的响应后，前端执行window.location.reload()强制刷新页面，确保浏览器及时更新Cookie状态。

内容的提问来源于stack exchange，提问作者Debajyoti Debnath