Next Auth Credential Provider配置故障求助

1. 先核对auth.ts里的Credential配置 #

多租户场景下，Credential Provider的authorize函数是核心排查点：

• 必须过滤租户：查询用户时一定要带上租户ID（从请求头、路由参数或表单中获取），否则会跨租户查错用户或查不到目标用户
• 密码验证要严谨：用bcrypt这类工具时，创建用户必须哈希密码，验证时用compare方法，禁止直接比对明文
• 错误返回规范：用户不存在/密码错误时，抛出NextAuth内置的CredentialsSignin错误，别随意抛普通Error

反面示例（未做租户过滤）：

async authorize(credentials) {
  // 多租户下绝对禁止！会查到其他租户的用户
  const user = await prisma.user.findUnique({ where: { email: credentials?.email } });
  // ...
}

正确的多租户写法：

async authorize(credentials, req) {
  // 从请求中获取租户ID（示例从表单字段取）
  const tenantId = req.body.tenantId;
  if (!tenantId) throw new Error('租户ID缺失');

  // 通过复合条件查询用户（需提前给email+tenantId建唯一索引）
  const user = await prisma.user.findUnique({
    where: { email_tenantId: { email: credentials?.email, tenantId } }
  });

  if (!user) throw new CredentialsSignin('账号或密码错误');
  
  // 验证密码哈希
  const passwordMatch = await bcrypt.compare(credentials?.password || '', user.password);
  if (!passwordMatch) throw new CredentialsSignin('账号或密码错误');

  return { id: user.id, email: user.email, tenantId };
}

2. 检查登录表单的提交逻辑 #

NextAuth的Credential Provider默认只处理formData格式请求，别用JSON提交：

• 表单必须POST到/api/auth/callback/credentials
• 用FormData传递所有字段（包括租户ID）
• 让NextAuth自动处理跳转，不要手动拦截响应

错误示例（用JSON提交）：

async handleSubmit(e) {
  e.preventDefault();
  await fetch('/api/auth/callback/credentials', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ email, password, tenantId })
  });
}

正确写法：

async handleSubmit(e) {
  e.preventDefault();
  const formData = new FormData();
  formData.append('email', email);
  formData.append('password', password);
  formData.append('tenantId', tenantId);

  const res = await fetch('/api/auth/callback/credentials', {
    method: 'POST',
    body: formData,
    redirect: 'follow'
  });

  if (!res.ok) {
    const err = await res.json();
    console.log('登录失败:', err);
  }
}

3. Vercel部署环境必查项 #

• 环境变量完整性：NEXTAUTH_SECRET、DATABASE_URL等关键变量必须在Vercel控制台配置，生产环境与本地环境保持一致
• 查看函数日志：去Vercel后台「Functions」板块，找到/api/auth/[...nextauth]的日志，生产环境的错误栈是最直接的排查依据
• 数据库连接SSL：PostgreSQL在Vercel上需开启SSL，DATABASE_URL结尾要加?sslmode=require

4. Prisma与数据库细节 #

• 复合唯一索引：用户表必须给email和tenantId建复合唯一索引，避免同一邮箱在不同租户重复
• 密码哈希校验：确认数据库中用户密码是哈希后的值，禁止存储明文（本地测试容易忽略哈希步骤）
• Prisma客户端生成：部署前务必执行prisma generate，Vercel默认会自动执行，但自定义构建命令时需手动添加

5. NextAuth基础配置检查 #

• 开启debug模式：在NextAuth配置中添加debug: process.env.NODE_ENV === 'development'，本地可查看详细认证日志
• session策略适配：用database策略时，确保session表能存储租户ID；用jwt策略时，需在jwt回调中将租户ID写入token
• 登录页路由匹配：确认pages.signIn配置的路由与你的登录表单路由一致

如果以上排查都无效，把你的auth.ts和登录表单代码贴出来（敏感信息打码），能更快定位问题。

内容的提问来源于stack exchange，提问作者didu bako