Next.js API中设置HttpOnly Cookie失败求助：res.cookie未定义及serialize方法无效问题

我帮你排查下这个Cookie设置失败的问题，你的代码里有几个关键细节没处理对，咱们逐个来修正：

1. 过期时间设置矛盾且已失效 #

你同时配置了maxAge: 5000（5000秒，约1小时23分）和expires: new Date("01 12 2021")——这个expires日期是2021年，早就过期了！浏览器收到过期的Cookie会直接丢弃，根本不会保存到本地。

解决办法：二选一即可，推荐保留maxAge（更直观），或者把expires改成未来的日期：

// 方式一：仅保留maxAge
maxAge: 5000,
// 方式二：设置匹配maxAge的未来过期时间
expires: new Date(Date.now() + 5000 * 1000),

2. secure属性在本地开发不兼容 #

secure: true要求Cookie只能在HTTPS环境下保存，但本地开发一般用HTTP（http://localhost），这时候浏览器会直接拒绝存储这个Cookie。

解决办法：根据环境动态切换这个属性：

secure: process.env.NODE_ENV === "production",

生产环境用HTTPS时设为true，本地开发自动设为false。

3. 建议显式声明path属性 #

虽然cookie库的serialize方法默认路径是/，但显式设置可以避免因路径匹配规则导致前端读取不到Cookie的问题：

path: "/",

修正后的完整代码 #

把以上问题修复后，代码应该是这样的：

import { serialize } from "cookie";

export default function handler(req, res) {
  const accessToken = response.data.access_token; // 确保这个值已正确获取

  res.setHeader(
    "Set-Cookie",
    serialize("jwt", accessToken, {
      maxAge: 5000,
      secure: process.env.NODE_ENV === "production",
      httpOnly: true,
      sameSite: "lax",
      path: "/",
    })
  );

  res.send("done");
}

额外排查小贴士 #

• 如果是跨域请求，需要把sameSite改成"none"，同时secure必须设为true，且前端请求要加上credentials: "include"
• 可以打开浏览器开发者工具，在「Application」→「Cookies」里查看是否有目标Cookie，同时在「Network」面板检查响应头是否正确返回了Set-Cookie字段

内容的提问来源于stack exchange，提问作者kevin