NextJS中使用getServerSession遭遇JWT会话解密失败问题求助

问题分析 #

这个JWEDecryptionFailed错误的核心原因是：NextAuth默认采用JWT作为会话存储策略，即便你没有手动配置JWT相关选项，框架也会自动启用该机制。解密失败通常是因为缺少正确的NEXTAUTH_SECRET环境变量，或者密钥前后不一致导致的。

解决方案 #

1. 添加并配置NEXTAUTH_SECRET环境变量 #

NextAuth依赖这个密钥完成JWT会话令牌的加密和解密操作：

• 在项目根目录的.env.local文件中添加：

  NEXTAUTH_SECRET=your-secure-secret-key
  

• 生成安全密钥可使用Node.js内置工具，在终端执行：

  node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
  

  将生成的随机字符串复制到NEXTAUTH_SECRET字段中即可。

2. 修复代码中的语法与逻辑问题 #

你的pages/api/reviews/index.js存在语法错误和潜在风险，修正后的代码如下：

import pool from "../../../backend-utils";
import { getServerSession } from "next-auth/next";
import { authOptions } from "../auth/[...nextauth]";

export default async function handler(req, res){
    const method = req.method;
      
    if (method === "GET"){
        try{
            const client = await pool.connect()
            const data = await client.query('SELECT * FROM reviews;');
            res.status(200).json({ body: data });
        } catch (error) {
            res.status(500).json({message: "获取评论列表失败，错误信息："+ error});
        }
    } else if (method === "PUT"){
        try{
            const session = await getServerSession(req, res, authOptions);
            if (!session) {
                // 未授权请求应返回401状态码（符合HTTP规范）
                return res.status(401).json({ message: '请求未授权' });
            }

            const {rest_name, o_rating, price, taste, experience, description, city, state_code} = JSON.parse(req.body);
            // 改用参数化查询避免SQL注入风险
            const response = await pool.query(
                `INSERT INTO reviews(rest_name, o_rating, price, taste, experience, description, city, state_code, user_id_submitted, soph_submitted) 
                VALUES ($1, $2, $3, $4, $5, $6, $7, $8, $9, $10)`,
                [rest_name, o_rating, price, taste, experience, description, city, state_code, '1', false]
            );
            res.status(200).json({message: "评论提交成功", body: req.body})
        } catch (error){
            res.status(500).json({ message: error.message })
        }
    } else {
        // 处理未支持的请求方法
        res.status(405).json({ message: '不支持的请求方法' });
    }
}

3. 额外注意事项 #

• SQL注入风险：原代码直接将用户输入拼接进SQL语句，属于高危操作，必须改用参数化查询（上述代码已修正）。
• 环境变量生效：添加NEXTAUTH_SECRET后，需重启Next.js开发服务器，确保环境变量加载生效。
• 状态码规范：未授权请求返回401而非500，符合HTTP状态码定义。

其他排查方向 #

若添加密钥后问题仍存在：

• 检查不同环境（开发/生产）是否使用了不一致的NEXTAUTH_SECRET。
• 清除浏览器缓存与Cookie，避免旧的无效JWT令牌残留。
• 确认authOptions中没有自定义JWT配置冲突（比如错误的加密算法）。

内容的提问来源于stack exchange，提问作者Sam Madden