NextAuth未返回JWT Token问题排查：仅存在Session Token

AI 小北

2026-6-24

解决NextAuth JWT获取失败及Middleware认证问题

问题核心

使用NextAuth的CredentialsProvider+JWT会话策略时，存在两个关键问题：

Middleware中调用getToken无法获取到token，影响路由守卫逻辑
客户端无法直接获取原始JWT（注：NextAuth默认不暴露原始JWT给客户端，这是安全设计，如需用户信息应通过session对象获取）

错误修复方案

1. 修正JWT回调中的拼写错误

authOptions的jwt回调里存在字段拼写错误，导致token无法正确携带用户username信息，甚至可能干扰token生成逻辑：

// 错误代码
token.username = user.usernamQe;
// 修正为
token.username = user.username;

2. 给Middleware的`getToken`补充Secret参数

getToken需要传入与authOptions一致的secret才能解密JWT，否则无法获取有效token。修改middleware.ts：

// 原代码
const token = await getToken({ req: request });
// 修改后
const token = await getToken({ 
    req: request, 
    secret: process.env.NEXTAUTH_SECRET || 'sec3et' // 与authOptions中的secret保持一致
});

3. 规范Secret配置（推荐）

避免硬编码secret，改用环境变量管理更安全：

在项目根目录创建.env.local文件，添加：
```
NEXTAUTH_SECRET=your-secure-secret-key-here
```
更新authOptions中的secret配置：
```
secret: process.env.NEXTAUTH_SECRET,
```

4. 确认Session回调的用户信息传递

客户端无需直接获取JWT，通过useSession钩子即可拿到用户信息，需确保session回调已将token中的用户字段注入session对象：

async session({ session, token }) {
    if (token) {
        session.user._id = token._id;
        session.user.isVerified = token.isVerified;
        session.user.isAcceptingMessages = token.isAcceptingMessages;
        session.user.username = token.username;
    }
    return session;
},