Next.js集成next-auth在生产托管环境下Session Cookie未初始化问题

1. 修正Cookie的Domain配置 #

你当前配置的domain: '.mysubdomain.fr'存在错误——子域名场景下，正确的Domain应设置为**.mydomain.fr**（主域名前缀加.），这样才能让子域名mysubdomain.mydomain.fr正常读取Cookie。若指定.mysubdomain.fr，会把Cookie绑定到mysubdomain.fr这个独立域名，而非你的实际子域名。

修改后的完整Cookie配置：

cookies: {
  sessionToken: {
    name: `__Secure-next-auth.session-token`,
    options: {
      httpOnly: true,
      sameSite: 'lax',
      path: '/',
      secure: true,
      domain: '.mydomain.fr'
    }
  },
  csrfToken: {
    name: `__Host-next-auth.csrf-token`,
    options: {
      httpOnly: true,
      sameSite: 'lax',
      path: '/',
      secure: true,
      domain: '.mydomain.fr'
    }
  },
  callbackUrl: {
    name: `__Secure-next-auth.callback-url`,
    options: {
      sameSite: 'lax',
      path: '/',
      secure: true,
      domain: '.mydomain.fr'
    }
  }
}

2. 检查cPanel的Cookie安全限制 #

cPanel默认可能开启了子域名Cookie隔离或安全拦截规则，需确认：

• 进入cPanel的Domain或Security模块，关闭Cookie Domain Restrictions类限制，允许子域名mysubdomain.mydomain.fr设置跨域Cookie。
• 检查ModSecurity规则，临时关闭该功能测试，或添加规则放行/api/auth/*路径的请求，避免Cookie设置被拦截。

3. 确认NEXTAUTH_URL的准确性 #

确保环境变量NEXTAUTH_URL严格设置为完整子域名地址：https://mysubdomain.mydomain.fr，不要带末尾斜杠或相对路径。同时可在NextAuth配置中显式声明basePath：

const options = {
  // ...其他配置
  basePath: '/api/auth',
  // ...
}

4. 补全JWT与Session回调逻辑 #

你的jwt和session回调存在代码省略，需确保用户信息正确同步：

callbacks: {
  async jwt({ token, user }) {
    // 登录时将用户信息写入token
    if (user) {
      token.id = user.id;
      token.username = user.username;
      // 同步其他需要的用户字段
    }
    return token;
  },
  async session({ session, token }) {
    // 将token信息同步到session对象
    session.user.id = token.id;
    session.user.username = token.username;
    return session;
  },
},

回调逻辑不完整会直接导致Session无法正确初始化。

5. 验证HTTPS有效性 #

确认cPanel子域名的SSL证书有效（浏览器地址栏显示安全锁），若证书过期或为自签名，浏览器会拒绝保存secure: true标记的Cookie。

6. 排查浏览器存储限制 #

打开浏览器开发者工具（Application -> Cookies），检查：

• Cookie大小是否超出浏览器限制（NextAuth的Session Token一般不会触发，但需确认）。
• 浏览器是否开启第三方Cookie拦截（同域名场景下概率低，可临时关闭测试）。

内容的提问来源于stack exchange，提问作者Vinzouz