在Auth.js v5中实现团队管理：回调中处理邀请令牌问题

我正在使用Auth.js v5，整体运行正常，但在实现团队管理功能时遇到了障碍：

• 所有用户都隶属于一个团队，每个团队有一名所有者；
• 团队所有者可通过邮件发送邀请，邀请链接为/signin?invite=[token]；
• 需要实现：受邀用户通过该链接登录后，自动分配member角色并加入对应团队。

目前的问题是：无法在Auth.js配置的signIn回调、提供商回调或JWT回调中获取invite查询参数，我用的登录提供商是Google和Nodemailer。试过将令牌加到回调URL并使用redirect回调，但该回调仅返回URL，无法获取用户对象。

请问如何在Auth.js的回调中拿到邀请令牌，或者有什么更有效的实现方式？

方法1：将邀请令牌存入Cookie，在服务器端回调中读取 #

这是适配所有登录提供商的通用方案，能有效避免XSS风险：

1. 客户端登录页面处理：
   当用户访问/signin?invite=xxx时，将令牌存入Http-only Cookie：

// 以Next.js客户端组件为例
import { useRouter } from 'next/router';
import Cookies from 'js-cookie';
import { useEffect } from 'react';
import { signIn } from 'next-auth/react';

export default function SignInPage() {
  const router = useRouter();

  useEffect(() => {
    const inviteToken = router.query.invite;
    if (inviteToken) {
      Cookies.set('invite_token', inviteToken, { 
        secure: process.env.NODE_ENV === 'production',
        sameSite: 'strict',
        maxAge: 3600 // 1小时过期，避免长期留存
      });
    }
  }, [router.query.invite]);

  const handleGoogleSignIn = () => signIn('google');
  const handleEmailSignIn = (email) => signIn('nodemailer', { email });

  return (
    <div>
      <button onClick={handleGoogleSignIn}>用Google登录</button>
      {/* 邮箱登录表单 */}
    </div>
  );
}

2. 服务器端Auth.js回调读取Cookie：
   在signIn回调中读取Cookie，执行团队分配逻辑：

// Auth.js配置文件（如/app/api/auth/[...nextauth]/route.js）
import { cookies } from 'next/headers';
import NextAuth from 'next-auth';
import GoogleProvider from 'next-auth/providers/google';
import EmailProvider from 'next-auth/providers/nodemailer';

// 模拟数据库操作函数
async function validateInviteToken(token) {
  const invite = await db.invites.findUnique({ where: { token } });
  return invite?.teamId;
}

async function assignUserToTeam(userId, teamId) {
  await db.user.update({
    where: { id: userId },
    data: { teamId, role: 'member' }
  });
}

export const authOptions = {
  providers: [
    GoogleProvider({ /* 你的配置 */ }),
    EmailProvider({ /* 你的配置 */ })
  ],
  callbacks: {
    async signIn({ user }) {
      const cookieStore = cookies();
      const inviteToken = cookieStore.get('invite_token')?.value;

      if (inviteToken) {
        const teamId = await validateInviteToken(inviteToken);
        if (teamId) {
          await assignUserToTeam(user.id, teamId);
          // 处理完成后删除Cookie
          cookieStore.delete('invite_token');
        }
      }

      return true;
    }
  }
};

export default NextAuth(authOptions);

方法2：将邀请令牌放入OAuth State参数（仅适用于Google等OAuth类提供商） #

利用OAuth流程的state参数传递令牌，Auth.js会自动处理state的防篡改验证：

1. 客户端登录时传递state：

import { useRouter } from 'next/router';
import { signIn } from 'next-auth/react';

export default function SignInPage() {
  const router = useRouter();
  const inviteToken = router.query.invite;

  const handleSignIn = () => {
    signIn('google', {
      state: JSON.stringify({ invite: inviteToken })
    });
  };

  return <button onClick={handleSignIn}>用Google登录</button>;
}

2. 服务器端回调解析state：
   在signIn回调中从请求URL解析state参数：

async signIn({ user, request }) {
  const url = new URL(request.url);
  const stateParam = url.searchParams.get('state');
  if (stateParam) {
    try {
      const { invite } = JSON.parse(decodeURIComponent(stateParam));
      if (invite) {
        const teamId = await validateInviteToken(invite);
        if (teamId) await assignUserToTeam(user.id, teamId);
      }
    } catch (e) {
      // 解析失败则忽略，不影响登录流程
    }
  }
  return true;
}

方法3：自定义回调URL携带令牌（通用方案） #

在登录时将令牌附加到callbackUrl，登录完成后在session回调中处理：

1. 客户端登录时设置callbackUrl：

import { useRouter } from 'next/router';
import { signIn } from 'next-auth/react';

export default function SignInPage() {
  const router = useRouter();
  const inviteToken = router.query.invite;
  const callbackUrl = inviteToken 
    ? `/dashboard?invite=${inviteToken}` 
    : '/dashboard';

  const handleSignIn = () => {
    signIn('google', { callbackUrl });
  };

  return <button onClick={handleSignIn}>用Google登录</button>;
}

2. 在session回调中处理令牌：

callbacks: {
  async session({ session, user, request }) {
    const url = new URL(request.url);
    const inviteToken = url.searchParams.get('invite');

    // 避免重复处理已分配团队的用户
    if (inviteToken && !user.teamId) {
      const teamId = await validateInviteToken(inviteToken);
      if (teamId) {
        await assignUserToTeam(user.id, teamId);
        // 更新session中的团队信息
        session.user.teamId = teamId;
        session.user.role = 'member';
      }
    }

    return session;
  }
}

内容的提问来源于stack exchange，提问作者Simonas Petkevičius