Next.js中间件中Iron-Session跳转前save/destroy失效求助

核心原因确实如你推测的：Iron-Session的save()/destroy()操作是通过修改原res对象的Set-Cookie响应头来实现会话状态变更的，但直接返回NextResponse.redirect()创建的是全新响应，不会继承原res的这些修改，导致浏览器无法接收到会话更新的指令。

解决方法很简单：让跳转响应继承原res的响应头（尤其是Cookie相关的），具体实现如下：

示例代码 #

import { NextResponse } from 'next/server'
import { getIronSession } from 'iron-session/edge'

export async function middleware(req) {
  // 创建基础响应对象，用于承载会话操作的header变更
  const baseRes = NextResponse.next()
  
  // 获取会话实例
  const session = await getIronSession(req, baseRes, {
    password: process.env.IRON_SESSION_PASSWORD,
    cookieName: 'your-session-name',
    // 其他会话配置...
  })

  // 执行会话销毁操作（确保await等待异步完成）
  await session.destroy()

  // 创建跳转响应，并继承baseRes的headers（包含会话销毁后的Set-Cookie）
  const redirectRes = NextResponse.redirect(new URL('/login', req.url), {
    headers: baseRes.headers
  })

  return redirectRes
}

关键细节说明 #

• 必须先创建baseRes并传入getIronSession，会话的变更操作会自动修改这个对象的Set-Cookie头
• 跳转响应创建时，通过第二个参数的headers选项，将baseRes的所有响应头（包括会话变更后的Cookie设置）传递给新的跳转响应
• 一定要用await等待session.destroy()或session.save()完成，确保响应头已经被正确修改后再生成跳转响应

如果只需要传递Cookie相关的头，也可以单独复制set-cookie字段，避免多余的头传递：

const redirectRes = NextResponse.redirect(new URL('/login', req.url))
redirectRes.headers.set('set-cookie', baseRes.headers.get('set-cookie'))

内容的提问来源于stack exchange，提问作者Rune