如何将NextAuth会话令牌发送至Express.js服务器实现认证并保护端点

一、用NextAuth的JWT令牌作为统一认证凭证 #

不管是凭证登录还是Google登录，NextAuth都会生成JWT令牌，以此作为前后端统一的认证凭证是最可靠的方式，避免分场景处理的麻烦。

前端请求处理 #

所有调用Express受保护端点的请求，从NextAuth会话中提取JWT令牌，放在请求头的Authorization字段中，格式为Bearer <token>：

import { useSession } from "next-auth/react";

async function fetchProtectedData() {
  const { data: session } = useSession();
  if (!session) return Promise.reject("未登录");

  const res = await fetch("http://你的Express域名/protected", {
    method: "GET",
    headers: {
      Authorization: `Bearer ${JSON.stringify(session.jwt)}`,
    },
  });
  return res.json();
}

Express后端验证中间件 #

安装jsonwebtoken包，用NextAuth配置的secret作为密钥验证令牌合法性，创建全局中间件保护指定端点：

const jwt = require('jsonwebtoken');

const authGuard = (req, res, next) => {
  const authHeader = req.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).json({ code: 401, msg: "无有效认证令牌" });
  }

  const token = authHeader.split(' ')[1];
  try {
    // 密钥必须和NextAuth配置中的NEXTAUTH_SECRET完全一致
    const decodedUser = jwt.verify(token, process.env.NEXTAUTH_SECRET);
    req.user = decodedUser; // 将用户信息挂载到req对象，后续接口可直接使用
    next();
  } catch (err) {
    return res.status(401).json({ code: 401, msg: "令牌无效或已过期" });
  }
};

// 用中间件保护端点
app.get('/protected', authGuard, (req, res) => {
  res.json({ msg: "访问受保护资源成功", user: req.user });
});

二、解决Google登录无法设置HttpOnly Cookie的问题 #

Google OAuth登录的回调流程中，NextAuth默认不会自动设置自定义Cookie，需要在NextAuth的回调函数中主动处理，确保两种登录方式都能生成一致的Cookie：

import NextAuth from "next-auth";
import CredentialsProvider from "next-auth/providers/credentials";
import GoogleProvider from "next-auth/providers/google";

export default NextAuth({
  secret: process.env.NEXTAUTH_SECRET,
  providers: [
    CredentialsProvider({
      async authorize(credentials) {
        // 你的凭证校验逻辑，返回用户对象
        const user = await validateCredentials(credentials);
        return user;
      },
    }),
    GoogleProvider({
      clientId: process.env.GOOGLE_CLIENT_ID,
      clientSecret: process.env.GOOGLE_CLIENT_SECRET,
    }),
  ],
  callbacks: {
    async jwt({ token, user }) {
      // 登录时将用户核心信息写入JWT
      if (user) {
        token.id = user.id;
        token.email = user.email;
      }
      return token;
    },
    async session({ session, token }) {
      // 将JWT同步到session，供前端获取
      session.jwt = token;
      session.user.id = token.id;
      return session;
    },
    async redirect({ url, baseUrl }) {
      // 登录成功跳转时，主动设置HttpOnly Cookie
      const redirectUrl = url.startsWith('/') ? `${baseUrl}${url}` : url;
      return new Response(null, {
        status: 302,
        headers: {
          Location: redirectUrl,
          'Set-Cookie': `auth-token=${JSON.stringify(token)}; HttpOnly; ${process.env.NODE_ENV === 'production' ? 'Secure;' : ''} SameSite=${process.env.NODE_ENV === 'production' ? 'Strict' : 'Lax'}; Path=/; Max-Age=${30 * 24 * 60 * 60}`
        }
      });
    }
  },
  session: {
    strategy: "jwt", // 强制使用JWT策略，避免依赖数据库会话
  },
});

注意：生产环境必须开启Secure属性（配合HTTPS），跨域场景下SameSite可调整为Lax或None（None必须搭配Secure）。

三、解决生产环境无法获取NextAuth会话令牌的问题 #

这通常是跨域配置或Cookie属性不匹配导致的，需调整两处配置：

1. Express端CORS配置：允许携带凭证，并指定正确的前端域名

const cors = require('cors');
app.use(cors({
  origin: process.env.NEXT_APP_DOMAIN, // 你的Next.js生产环境域名
  credentials: true,
}));

2. NextAuth的Cookie配置：适配生产环境的域名和安全要求

session: {
  strategy: "jwt",
  cookie: {
    secure: process.env.NODE_ENV === "production",
    sameSite: process.env.NODE_ENV === "production" ? "Strict" : "Lax",
    domain: process.env.NODE_ENV === "production" ? ".your-main-domain.com" : undefined, // 跨子域时设置主域名
  },
},

四、验证流程总结 #

1. 用户通过凭证/Google登录，NextAuth生成包含用户信息的JWT令牌
2. 前端请求Express时，要么通过Authorization头携带令牌，要么依赖HttpOnly Cookie
3. Express中间件验证令牌合法性，通过则允许访问受保护端点

内容的提问来源于stack exchange，提问作者Alamin Shaikh