应用重启后NextAuth signOut函数失效，如何修复？

你遇到的问题是NextAuth使用JWT会话策略时，应用重启后已登录用户调用signOut无法清除next-auth.session-token cookie。核心原因是NextAuth默认会自动生成一个临时的JWT密钥（secret），每次应用重启这个密钥都会重新生成。当应用重启后，服务器无法识别之前用旧密钥签发的session token，因此执行signOut时不会触发cookie清除逻辑。

1. 添加固定的JWT密钥 #

在项目根目录的.env.local文件中添加固定的NEXTAUTH_SECRET：

NEXTAUTH_SECRET=your-secure-secret-here

可以用openssl rand -hex 32命令生成一个安全的随机密钥。

2. 在authOptions中显式配置secret #

修改authOptions配置，添加secret字段读取环境变量值：

import { compare } from 'bcryptjs';
import type { NextAuthOptions } from 'next-auth';
import CredentialsProvider from 'next-auth/providers/credentials';
import { prisma } from '../../prisma/prisma';

export const authOptions: NextAuthOptions = {
  secret: process.env.NEXTAUTH_SECRET, // 新增这一行
  session: {
    strategy: 'jwt',
  },
  providers: [
    CredentialsProvider({
      name: 'Sign in',
      credentials: {
        email: {
          label: 'Email',
          type: 'email',
          placeholder: 'example@example.com',
        },
        password: { label: 'Password', type: 'password' },
      },
      async authorize(credentials) {
        if (!credentials?.email || !credentials.password) {
          return null;
        }

        const user = await prisma.user.findUnique({
          where: {
            email: credentials.email,
          },
        });

        if (!user || !(await compare(credentials.password, user.password))) {
          return null;
        }

        return {
          id: user.id,
          email: user.email,
          name: user.name,
        };
      },
    }),
  ],
  callbacks: {
    session: ({ session, token }) => {
      console.warn('Session Callback', { session, token });
      return {
        ...session,
        user: {
          ...session.user,
          userId: token.id,
        },
      };
    },
    jwt: ({ token, user }) => {
      console.warn('JWT Callback', { token, user });
      if (user) {
        return {
          ...token,
          id: user.id,
        };
      }
      return token;
    },
  },
};

3. 验证修复效果 #

• 重启应用并登录账号
• 再次重启应用
• 点击登出按钮，检查浏览器的next-auth.session-token cookie是否被成功清除

使用JWT会话策略时，NextAuth依赖secret来签发和验证token。如果不配置固定secret，每次应用重启都会生成新的secret，导致旧token失效但客户端cookie仍存在。此时调用signOut，服务器无法验证token合法性，不会执行清除cookie的操作，从而出现你遇到的问题。

内容的提问来源于stack exchange，提问作者Valeri Petkov