在Next-auth中如何将OTP认证获取的用户凭据传递并存储到会话中

我明白你现在的困扰——在NextAuth的Credentials认证流程里，想把authorize中获取到的user_needs（包含token、userID这些关键凭据）传递到session回调里，之前直接返回user_needs没成功对吧？其实问题出在NextAuth的数据流逻辑上，咱们一步步调整就能解决：

核心逻辑梳理 #

NextAuth的认证流程里，authorize返回的用户数据会先被处理到JWT Token中，然后通过jwt回调可以自定义Token内容，最后在session回调里从Token中提取数据注入到会话里。之前你返回true或者直接返回user_needs但没配置jwt回调，导致数据没被正确传递。

具体修改步骤 #

1. 修改authorize方法，返回实际用户凭据
   不要返回true，而是返回user_needs中包含token、userID的有效数据（确保是可序列化的对象，不能有函数或循环引用）：

   async authorize(credentials, req) {
     const user_needs = await requests.auth.signInEnterOtp(
       credentials.phoneNumber,
       credentials.code,
       credentials.type
     );
     // 验证通过时返回用户凭据数据，比如user_needs.data里的token、userID
     if (user_needs.ok) {
       return user_needs.data; // 这里替换成你实际需要传递的字段结构
     }
     // 验证失败返回null，会触发登录失败
     return null;
   }
   

2. 添加jwt回调，将用户凭据存入JWT Token
   这个回调负责处理JWT的生成和更新，我们把authorize返回的用户数据合并到Token中：

   async jwt({ token, user }) {
     // 只有登录时（第一次调用authorize）才有user参数
     if (user) {
       // 将用户凭据添加到token，这里按需调整字段
       token.userId = user.userId;
       token.accessToken = user.token;
       // 如果需要完整的user对象，也可以直接赋值：token.user = user;
     }
     return token;
   }
   

3. 修改session回调，从Token提取数据到会话
   现在Token里已经有了用户凭据，把它注入到session对象里，前端就能通过useSession获取到：

   async session({ session, token }) {
     // 把Token中的用户凭据添加到session
     session.user.id = token.userId;
     session.accessToken = token.accessToken;
     // 如果之前存了完整user对象，就直接赋值：session.user = token.user;
     return session;
   }
   

完整修改后的代码 #

export default NextAuth({
  providers: [
    CredentialsProvider({
      credentials: {
        phoneNumber: { label: 'PhoneNumber', type: 'text' },
        code: { label: 'Code', type: 'text' },
        type: { label: 'Type', type: 'text' },
      },
      async authorize(credentials, req) {
        const user_needs = await requests.auth.signInEnterOtp(
          credentials.phoneNumber,
          credentials.code,
          credentials.type
        );
        if (user_needs.ok) {
          return user_needs.data; // 返回实际用户凭据
        }
        return null;
      },
    }),
  ],
  callbacks: {
    async jwt({ token, user }) {
      if (user) {
        // 自定义Token内容，根据你的user_needs.data结构调整
        token.userId = user.userId;
        token.accessToken = user.token;
      }
      return token;
    },
    async session({ session, token }) {
      // 将Token中的数据同步到session
      session.user.id = token.userId;
      session.accessToken = token.accessToken;
      return session;
    },
  },
  secret: process.env.JWT_SECRET,
});

注意事项 #

• 确保user_needs.data是可序列化的纯对象，不能包含函数、Symbol或者循环引用，否则JWT存储会报错。
• 如果user_needs里有敏感信息，要注意JWT的安全性（比如使用HTTPS，设置合理的过期时间）。
• 前端通过useSession()获取会话时，就能拿到session.user.id和session.accessToken这些字段了。

内容的提问来源于stack exchange，提问作者A.Anvarbekov