基于Auth0的Next.js受保护API实现及受众配置咨询

1. 保护API并获取Auth0 ID是否可行？ #

完全可行，你不需要局限于客户端凭据流（机对机场景）。你的场景属于前后端一体化的Next.js应用，应该使用**授权码流（带PKCE）**来处理用户身份验证，同时保护API路由并获取用户的Auth0 ID。

实现/api/examples/me路由的两种方式： #

方式一：利用Auth0 Next.js SDK的会话验证

直接通过SDK获取已验证的用户会话，从中提取Auth0 ID（即sub字段）：

// pages/api/examples/me.js
import { withApiAuthRequired, getSession } from '@auth0/nextjs-auth0';

export default withApiAuthRequired(async function handler(req, res) {
  const session = await getSession(req, res);
  if (!session) {
    return res.status(401).json({ message: '未授权' });
  }
  // session.user.sub 就是用户的Auth0唯一ID
  res.status(200).json({ auth0Id: session.user.sub });
});

方式二：直接验证请求中的访问令牌

如果需要支持客户端直接携带令牌调用API（而非依赖会话），可以手动验证访问令牌并提取用户ID：

// pages/api/examples/me.js
import { verifyAccessToken } from '@auth0/nextjs-auth0';

export default async function handler(req, res) {
  try {
    const { accessToken } = await verifyAccessToken(req, res, {
      audience: '你的API受众标识符', // 需提前在Auth0后台创建API
      scope: 'openid profile',
    });
    // accessToken.sub 即为Auth0用户ID
    res.status(200).json({ auth0Id: accessToken.sub });
  } catch (error) {
    res.status(error.status || 401).json({ message: error.message });
  }
}

2. Next.js中如何指定受众？ #

受众（Audience）是Auth0中API的唯一标识符，需要在三个地方配置：

• 环境变量：在项目的.env.local文件中添加：

  AUTH0_AUDIENCE=https://your-api-identifier.auth0.com/api/v2/
  

• SDK初始化：如果自定义初始化Auth0 SDK，可直接传入audience参数：

  // lib/auth0.js
  import { initAuth0 } from '@auth0/nextjs-auth0';
  
  export default initAuth0({
    domain: process.env.AUTH0_DOMAIN,
    clientId: process.env.AUTH0_CLIENT_ID,
    clientSecret: process.env.AUTH0_CLIENT_SECRET,
    audience: process.env.AUTH0_AUDIENCE, // 指定受众
    // 其他配置...
  });
  

• 获取令牌时指定：在客户端或服务端获取访问令牌时，可临时指定受众（覆盖全局配置）：

  // 客户端组件中获取令牌
  import { getAccessTokenSilently } from '@auth0/nextjs-auth0/client';
  
  async function getToken() {
    const token = await getAccessTokenSilently({
      audience: '你的API受众标识符',
      scope: 'openid profile email',
    });
    return token;
  }
  

3. 除Azure B2C外的身份管理替代方案 #

推荐几个成熟的Auth0替代方案，适配Next.js集成：

• Okta：企业级身份管理平台，功能与Auth0高度对齐，支持OAuth2/OIDC，有官方Next.js SDK，适合中大型企业项目。
• Firebase Authentication：谷歌旗下的身份服务，集成门槛极低，支持邮箱/社交账号/手机号等多种登录方式，自带用户数据库，适合快速迭代的中小项目。
• Keycloak：开源的身份管理系统，可完全自托管，支持高度定制化，适合对数据隐私、控制权要求高的场景，社区生态完善。
• Supabase Auth：基于PostgreSQL的全栈身份服务，自带数据库和存储，与Next.js集成简单，适合需要快速搭建全栈应用的开发者。

内容的提问来源于stack exchange，提问作者Ben