SvelteKit服务端如何检测并移除过期Cookie？

服务端本身不会像浏览器那样自动校验并移除过期Cookie，得手动实现这个逻辑。下面是具体的实现步骤和代码示例：

1. 编写Cookie处理工具函数 #

先实现一个函数，用来解析Cookie字符串，过滤掉已过期的条目：

function filterExpiredCookies(cookieString: string | undefined): string {
    if (!cookieString) return '';

    return cookieString.split(';')
        .map(cookie => cookie.trim())
        .filter(cookie => {
            // 拆分Cookie键值对和属性
            const [keyValuePart, ...attributes] = cookie.split(';').map(part => part.trim());
            if (!keyValuePart) return false;

            // 查找expires属性
            const expiresAttr = attributes.find(attr => attr.toLowerCase().startsWith('expires='));
            if (!expiresAttr) return true; // 没有过期时间的Cookie保留

            const expiresStr = expiresAttr.split('=')[1];
            const expiresDate = new Date(expiresStr);
            // 对比当前时间，未过期则保留
            return expiresDate > new Date();
        })
        .join('; ');
}

2. 在layout.server.ts中使用该函数 #

在服务端请求身份校验端点前，先处理Cookie，再构造请求头：

import type { LayoutServerLoad } from './$types';

export const load: LayoutServerLoad = async ({ cookies, fetch }) => {
    // 获取原始Cookie字符串
    const rawCookies = cookies.toString();
    // 过滤过期Cookie
    const validCookies = filterExpiredCookies(rawCookies);

    try {
        const authResponse = await fetch('https://你的身份校验端点地址', {
            headers: {
                // 使用过滤后的Cookie
                ...(validCookies && { Cookie: validCookies })
            }
        });

        if (!authResponse.ok) {
            // 处理非200状态，比如未授权等
            return { user: null };
        }

        const user = await authResponse.json();
        return { user };
    } catch (error) {
        console.error('身份校验请求失败:', error);
        return { user: null };
    }
};

3. 适配max-age类型Cookie的补充逻辑 #

如果你的会话Cookie使用的是max-age而非expires，需要调整过滤逻辑：

function filterExpiredCookies(cookieString: string | undefined): string {
    if (!cookieString) return '';

    return cookieString.split(';')
        .map(cookie => cookie.trim())
        .filter(cookie => {
            const [keyValuePart, ...attributes] = cookie.split(';').map(part => part.trim());
            if (!keyValuePart) return false;

            // 优先处理max-age
            const maxAgeAttr = attributes.find(attr => attr.toLowerCase().startsWith('max-age='));
            if (maxAgeAttr) {
                const maxAgeSeconds = parseInt(maxAgeAttr.split('=')[1], 10);
                // max-age为正表示未过期
                return !isNaN(maxAgeSeconds) && maxAgeSeconds > 0;
            }

            // 再处理expires
            const expiresAttr = attributes.find(attr => attr.toLowerCase().startsWith('expires='));
            if (!expiresAttr) return true;

            const expiresStr = expiresAttr.split('=')[1];
            const expiresDate = new Date(expiresStr);
            return expiresDate > new Date();
        })
        .join('; ');
}

关键说明 #

• 浏览器会自动管理Cookie的生命周期，但服务端收到的Cookie是请求头里的原始字符串，没有内置过滤逻辑，必须手动解析校验。
• 解析Cookie时要注意属性的大小写兼容，统一转小写判断避免遗漏。
• SvelteKit的cookies对象不会暴露expires或max-age属性，所以必须从原始Cookie字符串中解析这些信息。

内容的提问来源于stack exchange，提问作者haulvulgar