本文深入探讨了在next.js应用中，如何在服务器组件内部通过服务器动作（server actions）正确删除cookie。核心问题在于，即使函数标记为“use server”，直接在服务器组件渲染阶段调用`cookies().delete()`仍会失败。解决方案是，将服务器动作函数传递给客户端组件，并在客户端组件中触发该动作，从而确保cookie操作在正确的上下文执行。文章将提供详细的代码示例和安全注意事项。
在Next.js的App Router架构中，管理HTTP头部（包括Cookie）是一个常见的需求。next/headers模块提供了cookies()函数，允许我们在服务器端操作Cookie。然而，开发者在使用服务器组件（Server Components）尝试删除Cookie时，常会遇到一个误区：即使函数被"use server"标记为服务器动作，直接在服务器组件的渲染流程中调用cookies().delete()也可能导致错误，提示“Cookies can only be modified in a Server Action or Route Handler”。这表明，理解服务器动作的调用机制至关重要。
理解Next.js服务器动作与Cookie操作
Next.js的服务器组件在服务器上渲染，其结果是HTML。在这个渲染过程中，直接修改HTTP响应头（如设置或删除Cookie）是不被允许的，因为响应头在渲染完成后才最终确定。cookies().set()和cookies().delete()等操作被设计为在服务器动作（Server Actions）或路由处理程序（Route Handlers）中执行。
一个函数被"use server"标记后，它确实成为了一个服务器动作。但关键在于这个动作如何被触发。如果它只是在服务器组件的渲染函数内部被同步调用，Next.js会将其视为在渲染阶段修改Cookie，从而抛出错误。服务器动作需要通过特定的方式被客户端调用，例如：
- 表单提交： 将服务器动作作为form元素的action属性。
- 客户端组件调用： 从一个客户端组件中显式调用该服务器动作。
- API路由： 将服务器动作封装在API路由中，通过fetch等方式调用。
因此，要在服务器组件中定义一个删除Cookie的逻辑，并使其生效，我们需要将其通过客户端组件来触发。
正确的解决方案：通过客户端组件触发服务器动作
解决此问题的核心思路是：在服务器组件中定义一个服务器动作来处理Cookie删除逻辑，然后将这个服务器动作作为prop传递给一个客户端组件。客户端组件负责在适当的时机（例如，页面加载时通过useEffect）调用这个服务器动作。
下面是具体的实现步骤和代码示例。
1. 定义服务器动作（在服务器组件或独立文件中）
首先，在你的服务器组件（例如 app/signout/page.js）中定义一个异步函数，并使用"use server"指令将其标记为服务器动作。这个函数将包含删除Cookie的逻辑。
// app/signout/page.js
import { cookies } from "next/headers";
import SignOutAction from "./SignOutAction"; // 导入客户端组件
export default async function SignOut() {
async function deleteTokens() {
"use server"; // 明确这是一个服务器动作
console.log("尝试删除 accessToken cookie...");
cookies().delete("accessToken"); // 执行Cookie删除操作
console.log("accessToken cookie 删除完成。");
}
// 将服务器动作传递给客户端组件
return 在这个服务器组件中，deleteTokens函数负责删除名为accessToken的Cookie。重要的是，我们没有直接在这里调用deleteTokens()。
2. 创建客户端组件来触发服务器动作
接下来，创建一个客户端组件（例如 app/signout/SignOutAction.js），它将接收并触发上述定义的服务器动作。
// app/signout/SignOutAction.js
"use client"; // 明确这是一个客户端组件
import { useEffect, useRef } from "react";
export default function SignOutAction({ deleteTokens }) {
// 使用useRef来保持deleteTokens函数的引用稳定，避免不必要的useEffect重新运行
const deleteTokensRef = useRef(deleteTokens);
// 确保ref始终指向最新的deleteTokens函数
useEffect(() => {
deleteTokensRef.current = deleteTokens;
}, [deleteTokens]); // 当deleteTokens函数本身变化时更新ref
// 在组件挂载时调用服务器动作
useEffect(() => {
// 调用服务器动作来删除Cookie
deleteTokensRef.current();
}, []); // 空数组表示只在组件挂载时运行一次
return null; // 客户端组件不渲染任何UI
}在这个客户端组件中：
- "use client"指令是必需的，因为它使用了React Hooks（useEffect和useRef）。
- useRef用于创建一个稳定的deleteTokens函数引用。这是最佳实践，因为函数作为prop传递时，即使其内容不变，引用也可能在每次渲染时发生变化，这可能导致useEffect不必要的重新运行。通过useRef，我们可以确保useEffect的依赖项列表保持稳定。
- 第一个useEffect确保deleteTokensRef.current总是指向最新的deleteTokens函数。
- 第二个useEffect在组件首次挂载时（[]依赖项）调用deleteTokensRef.current()，从而触发服务器动作，完成Cookie的删除。
通过这种方式，cookies().delete('accessToken')的执行被推迟到客户端组件挂载时，并通过服务器动作的正确调用机制来完成，从而避免了在服务器组件渲染阶段直接操作Cookie的限制。
注意事项
-
CSRF防护： 对于登出（Signout）等敏感操作，直接在useEffect中触发服务器动作可能存在跨站请求伪造（CSRF）的风险。恶意网站可能会诱导用户访问一个页面，该页面在加载时自动触发你的登出动作。虽然Next.js的服务器动作本身具有一定的CSRF保护机制（例如，通过隐式令牌），但对于关键操作，仍建议采取额外的防护措施，例如：
- 要求用户通过POST请求（例如，表单提交）来触发登出，而不是GET请求（通过useEffect通常是GET请求）。
- 在服务器动作中进行额外的安全检查，例如验证请求来源或使用显式的CSRF令牌。
- 可以参考OWASP的CSRF防护指南。
服务器组件与客户端组件的边界： 深入理解Next.js的服务器组件和客户端组件的渲染模式至关重要。服务器组件用于获取数据和构建大部分UI，而客户端组件则负责交互性和状态管理。当需要在客户端触发服务器端操作（如修改Cookie、数据库操作等）时，服务器动作是连接这两者的桥梁。
服务器动作的触发时机： 服务器动作通常由用户交互（如表单提交、按钮点击）或客户端组件的生命周期事件（如useEffect）触发。避免在服务器组件的渲染逻辑中直接调用服务器动作来执行修改HTTP头部的操作。
总结
在Next.js中，尽管服务器组件可以定义服务器动作，但要成功删除或设置Cookie，这些操作必须通过客户端组件的显式调用或作为路由处理程序来触发。直接在服务器组件的渲染阶段调用cookies().delete()会导致错误。通过将服务器动作传递给客户端组件，并在客户端组件的useEffect中调用它，我们能够优雅地解决这一问题，确保Cookie操作在正确的服务器上下文和生命周期中执行。同时，对于登出等敏感操作，务必考虑并实施适当的CSRF防护措施。
