为何Next-Auth在浏览器生成两个令牌？如何恢复原会话令牌？

这两个新令牌是什么？ #

这是Next-Auth启用**会话分片（Session Splitting）**后生成的拆分Cookie。当单个会话JWT的大小超过浏览器Cookie默认限制（通常4KB）时，Next-Auth会自动把会话内容拆分成多个小Cookie，用.0、.1这类后缀区分，以此规避Cookie大小限制问题。这类拆分后的Cookie是Next-Auth内部处理的格式，后端直接解码单个分片自然无法得到完整的JWT内容。

如何恢复原来的单会话令牌？ #

你可以通过以下两种方式解决：

1. 缩小JWT有效载荷（推荐） #

通过jwt回调过滤掉不必要的用户信息，只保留后端认证必需的字段，让JWT体积缩小到4KB以内，Next-Auth就会自动停止分片。修改你的authOptions如下：

export const authOptions = {
    providers: providers,
    callbacks: {
        jwt({ token, user }) {
            // 只保留核心认证字段，比如用户ID、邮箱等
            if (user) {
                token.id = user.id;
                token.email = user.email;
            }
            return token;
        }
    }
}

2. 强制禁用会话分片 #

如果确认你的JWT体积不会超出限制，可以在authOptions中手动禁用分片功能：

export const authOptions = {
    providers: providers,
    session: {
        strategy: "jwt",
        split: false // 禁用会话分片
    }
}

⚠️ 注意：如果JWT实际大小超过4KB，禁用分片会导致Cookie被浏览器截断，进而引发会话失效问题，所以优先推荐第一种方法。

内容的提问来源于stack exchange，提问作者noslenkwah