使用Next-Auth对接AWS Cognito时触发invalid_client错误求助

我有一个Next.js应用，用AWS Cognito存储用户信息。之前创建了Cognito用户池的公共客户端，仅用用户池ID和客户端ID就完成了对接，当时没用到NextAuth。现在改用NextAuth实现服务端认证，复用旧的Cognito客户端，应用能正常跳转到Cognito登录页，但登录成功后触发了NextAuth错误：

https://next-auth.js.org/errors#oauth_callback_error invalid_client {
  error: OPError: invalid_client ...
}

错误追踪信息：

{
  name: 'OAuthCallbackError',
  code: undefined
},
providerId: 'cognito',
message: 'invalid_client'
}

根据Next.js相关文档，OAUTH_CALLBACK_ERROR的说明是：

This can occur during the handling of the callback if the code_verifier cookie was not found or an invalid state was returned from the OAuth provider.

我不清楚code_verifier cookie是什么，也没修改过NextAuth的高级配置或相关设置，为什么会出现这个错误？

可能的原因及解决方法 #

1. Cognito客户端认证流程不兼容 #

NextAuth默认使用授权码流+PKCE（Authorization Code Flow with PKCE），你的旧公共客户端可能未开启PKCE支持或流程配置不匹配。

• 解决：登录AWS控制台，进入Cognito用户池→应用客户端→找到目标客户端：
  • 确保勾选ALLOW_AUTHORIZATION_CODE_FLOW和ALLOW_USER_SRP_AUTH
  • 确认PKCE功能处于启用状态（公共客户端Cognito默认支持，若手动关闭需重新开启）

2. NextAuth配置缺少必要参数 #

仅提供用户池ID和客户端ID不足以让NextAuth正常对接Cognito，需补充完整配置，尤其是issuer和空值的clientSecret（公共客户端无密钥，必须显式设为空字符串）。
示例正确配置：

// pages/api/auth/[...nextauth].js
import NextAuth from "next-auth";
import CognitoProvider from "next-auth/providers/cognito";

export default NextAuth({
  providers: [
    CognitoProvider({
      clientId: process.env.COGNITO_CLIENT_ID,
      clientSecret: "", // 公共客户端必须设为空字符串
      issuer: `https://cognito-idp.${process.env.AWS_REGION}.amazonaws.com/${process.env.COGNITO_USER_POOL_ID}`,
    }),
  ],
});

3. code_verifier Cookie被拦截或未正确生成 #

code_verifier是PKCE流程中用于验证请求合法性的临时Cookie，若浏览器阻止Cookie、跨域配置错误或NextAuth Cookie参数被修改，都会触发该错误。

• 解决：
  • 确保应用域名与Cognito回调URL处于同一主域，或配置正确的跨域Cookie规则
  • 未自定义过NextAuth的cookies配置时，保持默认设置即可
  • 测试时关闭浏览器隐私模式、广告拦截插件，避免Cookie被拦截

4. Cognito回调URL配置错误 #

Cognito客户端的允许回调URL必须与NextAuth的回调URL完全一致，NextAuth默认回调URL为http://localhost:3000/api/auth/callback/cognito（生产环境需替换为实际域名）。

• 解决：在Cognito控制台的应用客户端设置中，将正确的回调URL添加到允许列表

内容的提问来源于stack exchange，提问作者Shamimatul Jannat