SvelteKit中Supabase Auth未存Cookie致会话验证失败

问题概述 #

本地运行时，Supabase魔法链接登录流程（生成链接→验证令牌→跳转/admin）完全正常，但部署后跳转至/admin页面时，getSession()始终返回null，浏览器Cookie中仅存在-auth-token-code-verifier，无会话/刷新令牌。Supabase日志显示登录成功，但随即出现500错误提示"用户未找到"。

解决方案 #

1. 修复Cookie的生产环境属性 #

部署到HTTPS环境后，浏览器对Cookie的安全性要求更高，需手动添加secure和sameSite属性：
修改hooks.server.ts中的Cookie配置：

set: (key, value, options) => {
  event.cookies.set(key, value, { 
    ...options, 
    path: '/',
    secure: process.env.NODE_ENV === 'production', // 生产环境强制HTTPS传输
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax', // 跨域场景设为None，同域用Lax
    httpOnly: true // 确保Cookie仅通过HTTP(S)传输，增强安全性
  })
},
remove: (key, options) => {
  event.cookies.delete(key, { 
    ...options, 
    path: '/',
    secure: process.env.NODE_ENV === 'production',
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax'
  })
},

注意：当sameSite设为None时，必须同时开启secure，否则浏览器会拒绝保存Cookie。

2. 校验Supabase控制台的URL配置 #

登录Supabase控制台，进入Auth → URL配置：

• 确认站点URL与部署后的域名完全一致（包括https://前缀，无多余路径）
• 确认重定向URL包含/admin或魔法链接跳转的目标路径，确保在允许列表内
• 若使用自定义域名，需确保域名已正确绑定到Supabase项目

3. 排查500"用户未找到"错误 #

• 查看Supabase Auth日志的详细报错信息，确认魔法链接对应的用户ID是否存在于Auth用户列表中
• 检查魔法链接的有效期（默认24小时），避免使用过期链接
• 验证部署环境的PUBLIC_SUPABASE_URL和PUBLIC_SUPABASE_KEY是否与本地一致，防止连接到错误的Supabase项目

4. 强制Session刷新逻辑 #

在hooks.server.ts中添加会话刷新逻辑，确保每次请求都尝试恢复会话：

event.locals.getSession = async () => {
  let { data: { session } } = await event.locals.supabase.auth.getSession()
  // 若Session为空，尝试刷新会话
  if (!session) {
    const { data: refreshedSession } = await event.locals.supabase.auth.refreshSession()
    session = refreshedSession.session
  }
  return session
}

5. 检查部署平台的环境变量 #

确保部署平台（如Vercel、Netlify、Cloudflare Pages）的环境变量已正确配置：

• PUBLIC_SUPABASE_URL和PUBLIC_SUPABASE_KEY需与Supabase控制台的项目信息完全匹配
• 避免环境变量名拼写错误，或值包含多余空格/引号

修改后的完整hooks.server.ts示例 #

import { PUBLIC_SUPABASE_URL, PUBLIC_SUPABASE_KEY } from '$env/static/public'
import { createServerClient } from '@supabase/ssr'
import type { Handle } from '@sveltejs/kit'

export const handle: Handle = async ({ event, resolve }) => {
  event.locals.supabase = createServerClient(PUBLIC_SUPABASE_URL, PUBLIC_SUPABASE_KEY, {
    cookies: {
      get: (key) => event.cookies.get(key),
      set: (key, value, options) => {
        event.cookies.set(key, value, { 
          ...options, 
          path: '/',
          secure: process.env.NODE_ENV === 'production',
          sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
          httpOnly: true
        })
      },
      remove: (key, options) => {
        event.cookies.delete(key, { 
          ...options, 
          path: '/',
          secure: process.env.NODE_ENV === 'production',
          sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax'
        })
      },
    },
  })

  event.locals.getSession = async () => {
    let { data: { session } } = await event.locals.supabase.auth.getSession()
    if (!session) {
      const { data: refreshedSession } = await event.locals.supabase.auth.refreshSession()
      session = refreshedSession.session
    }
    return session
  }

  return resolve(event, {
    filterSerializedResponseHeaders(name) {
      return name === 'content-range'
    },
  })
}

内容的提问来源于stack exchange，提问作者mrosenbaum