部署后NextAuth集成Microsoft Entra ID失效问题求助

1. 检查Nginx反向代理配置 #

Nginx 502通常意味着无法正确转发请求到后端Next.js服务，需确保配置包含必要的转发头部：

server {
  listen 443 ssl;
  server_name my-domain;

  ssl_certificate /path/to/your/cert.pem;
  ssl_certificate_key /path/to/your/key.pem;

  location / {
    proxy_pass http://localhost:3000; # 替换为你的Next.js服务实际端口
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme; # 关键：告知NextAuth当前使用HTTPS协议
  }
}

配置修改后重启Nginx生效。

2. 简化NextAuth的Azure AD Provider配置 #

手动指定redirect_uri容易导致和NEXTAUTH_URL生成的地址不匹配，建议移除该参数，让NextAuth自动生成回调地址：

AzureAD({
  clientId: process.env.ENTRA_CLIENT_ID,
  tenantId: process.env.ENTRA_TENANT_ID,
  clientSecret: process.env.ENTRA_CLIENT_SECRET,
  authorization: {
    params: {
      scope: "openid profile email api://***************/access_as_user"
    },
  },
})

3. 验证环境变量与Entra ID重定向URL #

• 确认线上环境NEXTAUTH_URL已正确设置为https://my-domain/api/auth，且Next.js服务已重启加载新变量
• 确保Entra ID中添加的重定向URL为精确匹配：https://my-domain/api/auth/callback/azure-ad，协议、域名、路径不能有任何拼写或格式错误

4. 排查后端服务状态 #

• 检查Next.js服务是否正常运行：通过ps aux | grep node查看进程，或查看服务日志（如journalctl -u your-nextjs-service）
• 开启NextAuth调试模式：设置环境变量NEXTAUTH_DEBUG=true，查看回调请求的详细日志，定位是否有内部错误

5. 分析Nginx错误日志 #

查看Nginx错误日志（通常路径为/var/log/nginx/error.log），502错误会包含具体原因：

• 若显示Connection refused：检查Next.js服务端口是否正确，或防火墙是否允许Nginx访问该端口
• 若显示upstream prematurely closed connection：排查Next.js服务是否在处理回调时崩溃

内容的提问来源于stack exchange，提问作者hbdev