如何捕获next-auth服务端错误并优化日志与用户体验？

一、错误捕获：绕过默认处理，自定义拦截 #

NextAuth 内部请求流程抛出的错误不会冒泡到外层 try/catch，得通过它的内置配置或自定义路由来拦截：

1. 用 signIn 回调处理用户可感知的错误 #

在 [...nextauth].js 里配置 signIn 回调，针对特定错误返回友好提示或重定向：

export default NextAuth({
  providers: [...],
  callbacks: {
    async signIn({ account }) {
      // 拦截JWT过期/时钟异常类错误
      if (account?.error?.includes('exp claim') || account?.error === 'JWTExpired') {
        throw new Error('请检查系统时钟是否正常');
      }
      return true;
    },
  },
  // 指定自定义错误页，展示友好提示
  pages: {
    error: '/auth/error',
  },
});

2. 自定义API路由包装NextAuth，拦截响应错误 #

创建包装路由（如 pages/api/auth/custom/[...nextauth].js），手动处理响应内容：

import NextAuth from 'next-auth';
import authOptions from '../../[...nextauth]';

export default async function handler(req, res) {
  const originalEnd = res.end;
  res.end = function (data) {
    if (res.statusCode === 400) {
      try {
        const parsedData = JSON.parse(data);
        if (parsedData.error === 'State cookie was missing') {
          originalEnd.call(res, JSON.stringify({ error: '请启用浏览器Cookie以完成认证' }));
          return;
        } else if (parsedData.error.includes('exp claim timestamp check failed')) {
          originalEnd.call(res, JSON.stringify({ error: '系统时钟异常，请检查后重试' }));
          return;
        }
      } catch (e) {}
    }
    originalEnd.call(res, data);
  };

  await NextAuth(req, res, authOptions);
}

之后将前端认证请求指向这个自定义路由即可。

二、日志优化：过滤冗余错误，聚焦核心异常 #

1. 自定义NextAuth日志级别 #

在 authOptions 里配置 logger，过滤已知非致命错误：

import { logger } from 'next-auth';

export default NextAuth({
  providers: [...],
  logger: {
    error(code, metadata) {
      // 跳过Cookie缺失、JWT过期类错误的日志
      if (code === 'STATE_COOKIE_MISSING' || metadata?.message.includes('exp claim')) {
        return;
      }
      logger.error(code, metadata);
    },
    warn(code) { logger.warn(code); },
    debug(code) { logger.debug(code); },
  },
});

2. 日志系统层面过滤 #

如果用Winston、Pino等日志库，在传输层添加过滤规则，将这类错误标记为低优先级或单独归档，避免干扰崩溃根因排查。

三、异常攻击防护：针对错误暴增的处理 #

1. 错误频率监控 #

在自定义路由中添加IP级别的错误计数（用Redis实现），超过阈值则限制请求：

import Redis from 'ioredis';
const redis = new Redis(process.env.REDIS_URL);

export default async function handler(req, res) {
  const clientIp = req.headers['x-forwarded-for'] || req.socket.remoteAddress;
  const errorKey = `auth_error:${clientIp}`;
  const errorCount = await redis.incr(errorKey);
  
  if (errorCount > 10) {
    res.status(429).json({ error: '请求过于频繁，请稍后重试' });
    return;
  }
  await redis.expire(errorKey, 60); // 1分钟后重置计数

  // 后续NextAuth处理逻辑
  await NextAuth(req, res, authOptions);
}

2. 崩溃关联分析 #

将错误出现频率与服务器分片的CPU、内存、请求量等指标关联，错误突增且伴随资源使用率飙升时触发告警，排查是否为批量请求导致的资源耗尽。

内容的提问来源于stack exchange，提问作者Will P.