PayloadCMS中getMeUser返回null？www域名访问/checkout页面异常求助

1. 先修正错误的Fetch写法 #

你尝试的${process.env.NEXT_PUBLIC_SERVER_URL}/api/users/me && "https://www.example.com" 写法逻辑错误，&&运算符会取第一个真值，实际请求的还是环境变量对应的地址，硬编码www域名完全无效。恢复原有的Fetch代码即可：

const meUserReq = await fetch(`${process.env.NEXT_PUBLIC_SERVER_URL}/api/users/me`, {
  headers: {
    Authorization: `JWT ${token}`,
  },
})

2. 用户信息返回null的核心原因 #

（1）跨域名认证凭证不共享 #

example.com和www.example.com属于不同子域名，浏览器会隔离它们的存储：

• 若JWT存在localStorage：两个域名的localStorage完全独立，www.example.com无法读取example.com下存储的token，导致请求头Authorization为空。
• 若JWT存在Cookie：若Cookie的domain设置为example.com（不带前缀点），则www.example.com无法读取该Cookie，认证失败。

（2）Fetch请求未携带凭证（跨域场景） #

如果前端域名（www.example.com）和后端域名不同，Fetch默认不会携带Cookie，需手动添加credentials: 'include'选项，否则后端无法获取认证信息：

const meUserReq = await fetch(`${process.env.NEXT_PUBLIC_SERVER_URL}/api/users/me`, {
  headers: {
    Authorization: `JWT ${token}`,
  },
  credentials: 'include', // 跨域请求必须加这个才能携带Cookie
})

3. CORS/CSRF配置无效的排查点 #

即使添加了www.example.com，仍需检查以下细节：

• CORS配置：确保allowedOrigins同时包含https://example.com和https://www.example.com，或用正则匹配：/^https:\/\/(www\.)?example\.com$/，避免遗漏协议（http/https）或端口。
• CSRF配置：PayloadCMS的CSRF允许域名需同步添加两个域名，且前端需正确携带XSRF-Token请求头（从Cookie中读取后放入headers）。

4. PayloadCMS getMeUser返回null的原因 #

getMeUser仅在请求携带有效认证凭证时返回用户信息，返回null的常见场景：

• 请求未携带JWT或Cookie，或凭证已过期/无效。
• 用户无访问/api/users/me的权限（检查PayloadCMS的用户角色权限配置）。
• Cookie配置错误：未将Cookie的domain设置为.example.com（前缀点），导致跨子域名无法共享。

修复Cookie配置示例（PayloadCMS） #

在payload.config.ts中修改auth的Cookie设置，实现跨子域名共享：

import { buildConfig } from 'payload/config';

export default buildConfig({
  auth: {
    cookies: {
      domain: '.example.com', // 前缀点允许所有子域名共享Cookie
      path: '/',
      httpOnly: true,
      secure: process.env.NODE_ENV === 'production', // 生产环境启用HTTPS
    },
  },
  // 其他配置...
});

内容的提问来源于stack exchange，提问作者Kihiu