Next.js集成Supabase未调用getSession却触发不安全警告的解决办法

我在Next.js应用中使用Supabase，已按照官方文档完成服务端Supabase客户端初始化，代码如下：

utils/supabase/server.js

'use server'

import { createServerClient } from "@supabase/ssr";
import { cookies } from "next/headers";

export async function createClient() {
  const cookieStore = cookies();

  return createServerClient(
    process.env.NEXT_SUPABASE_URL,
    process.env.NEXT_SUPABASE_ANON_KEY,
    {
      cookies: {
        get(name) {
          return cookieStore.get(name)?.value;
        },
        set(name, value, options) {
          try {
            cookieStore.set({ name, value, ...options });
          } catch (error) {
            // The `set` method was called from a Server Component.
            // This can be ignored if you have middleware refreshing
            // user sessions.
          }
        },
        remove(name, options) {
          try {
            cookieStore.set({ name, value: "", ...options });
          } catch (error) {
            // The `delete` method was called from a Server Component.
            // This can be ignored if you have middleware refreshing
            // user sessions.
          }
        },
      },
    }
  );
}

但在服务端调用createClient()后，终端出现如下警告：

Using supabase.auth.getSession() is potentially insecure as it loads data directly from the storage medium (typically cookies) which may not be authentic. Prefer using supabase.auth.getUser() instead. To suppress this warning call supabase.auth.getUser() before you call supabase.auth.getSession().

我并未在代码中主动调用getSession()，请问该如何解决这个警告？

这个警告是因为**Supabase的服务端客户端内部会自动调用getSession()**来初始化会话状态，哪怕你没显式调用。以下是两种可行的解决方法：

方法1：提前调用getUser()抑制警告 #

在创建客户端后，立即调用supabase.auth.getUser()，这样Supabase会优先验证用户身份，跳过不安全的getSession()检查，从而消除警告。修改后的createClient函数如下：

'use server'

import { createServerClient } from "@supabase/ssr";
import { cookies } from "next/headers";

export async function createClient() {
  const cookieStore = cookies();

  const supabase = createServerClient(
    process.env.NEXT_SUPABASE_URL,
    process.env.NEXT_SUPABASE_ANON_KEY,
    {
      cookies: {
        get(name) {
          return cookieStore.get(name)?.value;
        },
        set(name, value, options) {
          try {
            cookieStore.set({ name, value, ...options });
          } catch (error) {
            // 服务端组件中调用set方法时的错误，有会话刷新中间件可忽略
          }
        },
        remove(name, options) {
          try {
            cookieStore.set({ name, value: "", ...options });
          } catch (error) {
            // 服务端组件中调用remove方法时的错误，有会话刷新中间件可忽略
          }
        },
      },
    }
  );

  // 提前调用getUser()，抑制getSession()的安全警告
  await supabase.auth.getUser();

  return supabase;
}

方法2：配置Supabase跳过自动会话检查 #

如果你不需要在创建客户端时立即验证会话，可以通过配置项禁用Supabase的自动会话获取逻辑。修改createServerClient的配置，添加auth相关参数：

'use server'

import { createServerClient } from "@supabase/ssr";
import { cookies } from "next/headers";

export async function createClient() {
  const cookieStore = cookies();

  return createServerClient(
    process.env.NEXT_SUPABASE_URL,
    process.env.NEXT_SUPABASE_ANON_KEY,
    {
      cookies: {
        get(name) {
          return cookieStore.get(name)?.value;
        },
        set(name, value, options) {
          try {
            cookieStore.set({ name, value, ...options });
          } catch (error) {
            // 服务端组件中调用set方法时的错误，有会话刷新中间件可忽略
          }
        },
        remove(name, options) {
          try {
            cookieStore.set({ name, value: "", ...options });
          } catch (error) {
            // 服务端组件中调用remove方法时的错误，有会话刷新中间件可忽略
          }
        },
      },
      // 禁用自动会话获取，避免内部调用getSession()
      auth: {
        autoRefreshToken: false,
        persistSession: false
      }
    }
  );
}

注意：方法2仅适合无需依赖自动会话的场景（比如仅调用公共数据接口）。如果需要处理用户认证逻辑，推荐使用方法1。

内容的提问来源于stack exchange，提问作者mukunda