NextJS在Safari中清除Cookie异常：document.cookies仍可读取求助

针对你遇到的NextJS服务端清除Cookie在Safari中异常的情况，核心原因大概率是清除操作未匹配Cookie的原始属性，或是Safari对Cookie的严格隐私限制导致的，以下是具体解决方案：

1. 手动匹配Cookie属性进行删除 #

NextJS的cookies().delete()方法如果没有指定完整的Cookie属性，可能无法在Safari中正确删除Cookie（Safari对Cookie的路径、域、SameSite等属性匹配要求更严格）。建议直接手动设置Cookie为过期状态，并完全匹配当初设置Cookie时的所有属性：

import { cookies } from 'next/headers';
import { NextResponse } from 'next/server';

export async function DELETE(): Promise<NextResponse> {
  try {
    const accessTokenCookie = cookies().get('accessToken');
    if (!accessTokenCookie) {
      return NextResponse.json({ success: true });
    }

    await logout({ accessToken: accessTokenCookie.value });

    // 手动设置Cookie过期，务必匹配当初设置时的所有属性
    cookies().set('accessToken', '', {
      expires: new Date(0), // 立即过期
      path: '/', // 与设置Cookie时的path一致，若当初为/api则改为'/api'
      domain: process.env.NODE_ENV === 'production' ? '.your-netlify-domain.com' : undefined, // 生产环境填写你的根域名，本地留空
      secure: process.env.NODE_ENV === 'production', // 生产环境开启（需HTTPS），本地http环境关闭
      sameSite: 'lax', // 与设置时的SameSite值一致，可选strict/lax/none
      httpOnly: false, // 若当初设置了httpOnly则改为true（但你document.cookies能拿到，说明这里是false）
    });

    return NextResponse.json({ success: true });
  } catch (e) {
    return NextResponse.json({ error: 'Logout failed' }, { status: 500 });
  }
}

2. 排查Cookie的原始设置属性 #

确保删除时的属性和你设置Cookie时的属性完全一致，尤其是：

• path：默认是/，但如果当初设置了特定路径（如/auth），删除时必须对应
• domain：生产环境若设置了根域名（如.example.com），删除时必须指定该域名，否则Safari会认为是不同的Cookie
• secure：本地http环境下不能开启，生产HTTPS环境必须开启（Safari要求Secure Cookie才能跨域或持久化）
• sameSite：若当初设置为none，必须同时开启secure，否则Safari会拒绝

3. 检查Safari隐私设置 #

• 关闭Safari的阻止跨域追踪功能（设置→隐私与安全性），开发环境下暂时关闭这类限制
• 确保未开启阻止所有Cookie，否则Cookie无法正常存储和删除

4. 验证删除是否生效 #

不要只依赖客户端的document.cookies和调试器：

• 在服务端后续请求中通过cookies().get('accessToken')检查是否真的被删除
• 若服务端已无法获取，但客户端document.cookies还能拿到，可能是客户端缓存，刷新页面即可同步

内容的提问来源于stack exchange，提问作者forkball