NextJS 14 + AuthJS集成外部JWT魔术链接认证问题排查

方案方向是否正确？ #

用 AuthJS 的 Credentials Provider 对接魔术链接返回的 JWT 是可行的，完全符合你「无需数据库存储会话、服务端获取 JWT 做 SSR 权限控制、客户端持 JWT 请求 REST 服务」的核心需求。问题出在 AuthJS 的配置细节和登录流程的实现上。

核心问题与原因分析 #

1. Error: NEXT_REDIRECT 报错原因

这个错误通常是登录流程中重复触发跳转导致的：

• 如果你在自定义登录 action 中手动调用了 redirect，同时又让 AuthJS 的 signIn 函数默认执行跳转（redirect: true），就会引发冲突。
• 另一种可能是在服务端组件或中间件中，未正确处理 AuthJS 的会话状态就强制跳转。

2. req.auth 始终为 null 的原因

这是因为会话未被正确持久化或解析，常见场景：

• 未配置 JWT 会话策略：Credentials Provider 默认不会自动启用 JWT 会话，若未显式设置 session: { strategy: "jwt" }，AuthJS 无法将用户信息存入服务端可解析的 cookie 中。
• authorize 返回值不符合要求：AuthJS 要求 authorize 函数返回的用户对象必须包含 sub 字段（用户唯一标识），否则无法生成有效的会话令牌。
• 中间件配置缺失：未通过 AuthJS 中间件拦截受保护路由，导致服务端无法从请求中解析会话信息。
• JWT 未同步到会话：未通过 AuthJS 的 jwt 和 session 回调，将 REST 服务返回的 JWT 及用户角色同步到 AuthJS 的会话对象中。

修正后的关键配置示例 #

1. 正确配置 @/auth.ts

import NextAuth from "next-auth";
import Credentials from "next-auth/providers/credentials";

export const { auth, signIn, signOut, handlers } = NextAuth({
  providers: [
    Credentials({
      name: "Magic Link JWT",
      credentials: {
        token: { label: "JWT 令牌", type: "text" }
      },
      async authorize(credentials) {
        if (!credentials?.token) return null;
        
        // 可选：调用 REST 服务验证令牌有效性
        const verifyRes = await fetch("http://restserver/auth/verify", {
          headers: { Authorization: `Bearer ${credentials.token}` }
        });
        if (!verifyRes.ok) return null;

        const userInfo = await verifyRes.json();
        // 必须返回包含 sub 字段的用户对象
        return {
          ...userInfo,
          sub: userInfo.id, // 用用户ID作为唯一标识
          accessToken: credentials.token
        };
      }
    })
  ],
  // 强制使用 JWT 会话策略，无需数据库
  session: { strategy: "jwt" },
  // 同步自定义字段到 AuthJS 的 JWT 和会话中
  callbacks: {
    async jwt({ token, user }) {
      // 用户登录时，把权限令牌和角色存入 JWT
      if (user) {
        token.accessToken = user.accessToken;
        token.role = user.role;
        token.sub = user.sub;
      }
      return token;
    },
    async session({ session, token }) {
      // 把 JWT 中的信息同步到会话对象，供服务端/客户端调用
      session.user.role = token.role;
      session.user.id = token.sub;
      session.accessToken = token.accessToken;
      return session;
    }
  },
  // 指定自定义登录页路径
  pages: {
    signIn: "/login"
  }
});

2. 修正登录 Action（避免重复跳转）

// app/login/actions.ts
"use server";
import { signIn } from "@/auth";
import { redirect } from "next/navigation";

export async function submitMagicToken(formData: FormData) {
  const token = formData.get("token") as string;
  
  // 禁用 AuthJS 自动跳转，手动处理结果
  const signInResult = await signIn("credentials", {
    token,
    redirect: false
  });

  if (signInResult?.error) {
    return { error: "无效的登录令牌" };
  }

  // 登录成功后手动跳转
  redirect("/dashboard");
}

3. 配置中间件做路由权限控制

// middleware.ts
export { auth as middleware } from "@/auth";

// 指定需要保护的路由规则
export const config = {
  matcher: ["/dashboard/:path*", "/admin/:path*"]
};

验证方式 #

1. 登录成功后，打开浏览器开发者工具的 Application 面板，查看是否存在 next-auth.session-token cookie。
2. 在服务端组件中通过 const session = await auth() 获取会话，检查是否包含 accessToken 和 role 字段。
3. 访问受保护路由时，中间件会自动拦截未登录请求，跳转到登录页。

内容的提问来源于stack exchange，提问作者srinesha