升级Next.js后出现Next-Auth会话Cookie超限问题求助

我用Next.js做前端、Express做后端，通过Next-Auth实现认证功能。从13.5版本升级至14.1.0时一切正常，但升级到14.1.4后出现认证API错误；回退到14.1.0版本后，登录时控制台提示Session cookie exceeds allowed 4096 bytes.，且会话存储中被设置了7个Next-auth会话Cookie。

我的authOptions配置代码如下：

import { PrismaAdapter } from "@next-auth/prisma-adapter";
import { AuthOptions } from "next-auth";
import prisma from '@/libs/prismadb';
import bcrypt from "bcrypt";
import CredentialsProvider from 'next-auth/providers/credentials';

export const authOptions:AuthOptions = {
    adapter: PrismaAdapter(prisma),
    providers: [
        CredentialsProvider({
            name: 'credentials',
            credentials:{
                email: { label: 'email', type: 'text' },
                password: { label: 'password', type: 'text'},
            },
            async authorize(credentials) {
                if (!credentials?.email || !credentials.password) {
                    throw new Error(`Invalid credentials`)
                }
                const user = await prisma.user.findUnique({
                    where: {
                        email: credentials.email
                    }
                });
                if (!user || !user.hashedPassword) {
                    throw new Error(`Invalid credentials`);
                }
                const isCorrectPassword = await bcrypt.compare(credentials.password, user.hashedPassword);
                if (!isCorrectPassword) {
                    throw new Error(`Incorrect password`)
                }
                return user;
            }
        })
    ],
    debug: process.env.NODE_ENV === 'development',
    session: {
        strategy: 'jwt'
    },
    secret: process.env.NEXTAUTH_SECRET
}

Next-Auth路由文件路径：src/app/api/auth/[...nextauth]/route.ts，代码如下：

import NextAuth from 'next-auth/next';
import { authOptions } from '@/utils/authOptions';

const handler = NextAuth(authOptions);

export { handler as GET, handler as POST };

我尝试过重建应用、撤销升级后的所有更改，但问题仍未解决。请问该如何解决此问题？或者有没有基于外部Express服务器实现认证的优质资源？

解决Cookie过大与多Cookie问题 #

• 清理冗余Cookie：手动清除浏览器中所有Next-auth相关Cookie，重启应用后重新登录。多Cookie大概率是升级回退过程中遗留的旧会话数据。
• 优化JWT内容：当前使用JWT会话策略，但authorize返回的完整user对象可能包含冗余字段（如hashedPassword），导致JWT体积超标。在authOptions中添加callbacks配置，只保留必要的用户字段：

export const authOptions: AuthOptions = {
  // 原有配置...
  callbacks: {
    async jwt({ token, user }) {
      if (user) {
        token.id = user.id;
        token.email = user.email;
        // 仅保留必要字段，避免加入敏感或冗余数据
      }
      return token;
    },
    async session({ session, token }) {
      if (session.user) {
        session.user.id = token.id as string;
        session.user.email = token.email as string;
      }
      return session;
    }
  }
}

• 调整Cookie配置：在authOptions中显式设置Cookie属性，避免自动生成过大的Cookie：

export const authOptions: AuthOptions = {
  // 原有配置...
  cookies: {
    sessionToken: {
      name: `${process.env.NODE_ENV === 'production' ? '__Secure-' : ''}next-auth.session-token`,
      options: {
        httpOnly: true,
        sameSite: 'lax',
        path: '/',
        secure: process.env.NODE_ENV === 'production',
        maxAge: 24 * 60 * 60 // 1天，可按需调整
      }
    }
  }
}

• 排查Prisma Adapter冲突：同时使用PrismaAdapter和JWT会话策略可能导致冗余会话数据存储。若仅用JWT策略，可移除PrismaAdapter（JWT无需数据库存储会话），或确保两者配置无冲突。

解决14.1.4版本的认证API错误 #

• 检查依赖兼容性：确认next-auth、@next-auth/prisma-adapter版本与Next.js 14.1.4兼容，尝试更新next-auth到最新稳定版，或锁定到适配14.1.4的版本。
• 查看官方更新日志：14.1.4可能对API路由或Cookie处理有变更，针对性调整代码适配这些改动。

外部Express服务器实现认证的方案 #

若想迁移到外部Express后端做认证，可参考以下核心思路：

• JWT认证流程：Express端实现登录接口，验证用户后签发JWT；Next.js前端将JWT存储在httpOnly Cookie中，每次请求API时自动携带。
• Express中间件：用jsonwebtoken库处理JWT的签发与验证，编写中间件保护敏感API路由。
• Next.js端适配：在Next.js的API路由或服务器组件中，通过Cookie获取JWT并验证身份；也可自定义实现类似getServerSession的方法适配外部JWT。
• 会话管理：Express端可实现JWT刷新机制，或用Redis存储会话状态（需主动失效会话时使用）。

内容的提问来源于stack exchange，提问作者Abdur Rahman