为何res.clearCookie与req.session.destroy无法清除Cookie？

核心问题：res.clearCookie 参数与 Session 配置不匹配 #

浏览器清除 Cookie 要求清除操作的参数必须与设置 Cookie 时的参数完全一致，你的代码中存在参数不一致的情况，导致浏览器无法识别并清除目标 Cookie。

修复后的 Logout Mutation 代码 #

@Mutation(() => Boolean)
logOut(
    @Ctx() { req, res }: MyContext
) {
    return new Promise((resolve) => {
        req.session.destroy((err) => {
            console.log("logout is called");
            // 严格复用 Session 配置中的 Cookie 选项
            res.clearCookie(COOKIE_NAME, {
                domain: "localhost",
                path: "/",
                httpOnly: true,
                sameSite: "lax",
                secure: __prod__ // 与 Session 配置保持环境一致
            });
            if (err) {
                console.log("err", err);
                return resolve(false);
            }
            resolve(true);
        });
    });
}

关键修复点说明 #

1. 统一 Cookie 选项：
   你在 Session 配置中设置了 httpOnly: true、sameSite: "lax"、secure: __prod__，但原 res.clearCookie 调用未完全包含这些参数，浏览器会认为这是两个不同的 Cookie，因此不会执行清除操作。

2. 移除无效的 expires 参数：
   res.clearCookie 不需要手动设置 expires，该方法会自动将 Cookie 的过期时间设为过去值，手动设置反而可能导致参数冲突。

额外排查项 #

• 验证 COOKIE_NAME 一致性：确保全局定义的 COOKIE_NAME 变量在 Session 配置和 Logout Mutation 中完全一致，无拼写错误。
• 前端请求配置：确认前端请求（如 GraphQL Client、Axios）已开启 withCredentials: true，否则浏览器不会携带 Cookie 到后端，清除操作无效。
• 浏览器 Cookie 存储检查：打开浏览器开发者工具（Application -> Cookies），查看是否存在同名但不同 domain/path 的 Cookie，如有需手动清理后重新测试。
• 本地环境 secure 配置：本地开发时 __prod__ 应为 false，若误设为 true，HTTP 环境下浏览器会忽略 Cookie 操作。

内容的提问来源于stack exchange，提问作者Vikash