Supabase+NodeJS鉴权报错：getUser(jwt)提示缺少sub claim

你的问题出在没有把前端传来的JWT令牌传递给Supabase客户端进行验证。虽然你解码令牌后确认存在sub字段，但你创建的Supabase客户端实例是全新的，没有关联任何会话信息，直接调用supabase.auth.getUser()时，客户端会尝试从自身内部存储获取会话（而你已禁用持久化），自然找不到有效会话，从而抛出"missing sub claim"错误。

修复步骤： #

1. 直接将提取到的JWT令牌传入supabase.auth.getUser()方法，让Supabase用该令牌验证用户身份。
2. 修正代码中req.user = user;的变量未定义问题，改用response.data.user赋值。

修改后的中间件代码：

const { createClient } = require("@supabase/supabase-js");
const jwtDecode = require("jwt-decode");

async function authenticate(req, res, next) {
  try {
    // 创建Supabase客户端实例
    const supabase = createClient(
      "REMOVED_FOR_PRIVACY",
      "REMOVED_FOR_PRIVACY",
      {
        auth: {
          autoRefreshToken: false,
          detectSessionInUrl: false,
          persistSession: false,
          localStorage: false,
          debug: true
        }
      }
    );
    // 从请求头获取认证令牌
    const token = req.headers.authorization;

    if (!token) {
      return res.status(401).json({ error: "Unauthorized. No token" });
    } else {
      const jwt = token.split("Bearer ").pop();
      // 解码JWT令牌（可选，仅用于调试或额外字段获取）
      const datadecoded = jwtDecode.jwtDecode(jwt);
      console.log(datadecoded);
      // 使用Supabase验证令牌有效性：直接传入JWT
      const response = await supabase.auth.getUser(jwt);

      console.log(response);
      if (!response.data.user) {
        // 用户未认证或出错时返回401
        return res.status(401).json({ error: "Unauthorized. No user" });
      }
      req.user = response.data.user;
      next();
    }
  } catch (error) {
    console.error("Error during authentication:", error);
    return res.status(500).json({ error: "Internal Server Error" });
  }
}

module.exports = {
  authenticate
};

关键说明： #

• supabase.auth.getUser()方法支持直接传入JWT令牌作为参数，Supabase会基于该令牌验证并返回对应用户对象。
• 你之前的代码中，客户端未关联任何会话，所以getUser()无法找到有效用户，即使令牌本身合法。
• 解码JWT的步骤是可选的，若不需要提前获取令牌字段，可直接省略，仅保留supabase.auth.getUser(jwt)完成验证。

内容的提问来源于stack exchange，提问作者Alexis