前后端分离（Next+Nest）架构下SSR用户数据访问方案咨询

结合你现有架构和技术偏好，方案2是最优选择，下面详细分析各方案优劣及落地建议：

方案对比分析 #

方案1：Next直接访问数据库（不推荐） #

• 核心问题：破坏后端业务逻辑封装，Nest中已实现的认证校验、数据权限、业务规则需要在Next中重复开发，后期维护成本翻倍
• 安全风险：将数据库直接暴露给前端服务，增加SQL注入、数据泄露的潜在风险
• 架构混乱：违背前后端分离的职责划分，后端不再是数据处理的唯一可信入口

方案2：Next转发Session Cookie调用后端（强烈推荐） #

完全适配你现有技术栈和偏好，优势如下：

• 复用Nest认证逻辑：不需要在Next中重新实现会话校验、权限控制，你熟悉的Nest认证体系可以完全保留
• 保持有状态会话模式：无需切换到JWT，符合你偏好的用户名密码+sessionToken的认证方式
• 避免数据不一致：所有用户数据和业务逻辑都由Nest统一处理，不需要在Next端维护用户表
• 安全可控：httpOnly Cookie始终在服务端流转，不会暴露给前端浏览器，保持原有安全机制

具体实现步骤 #

1. 在Next的SSR方法中获取并转发Cookie #

在Next页面的getServerSideProps（或App Router中的generateServerSideProps）里，从请求对象中提取Cookie，转发给Nest的用户信息接口：

export async function getServerSideProps(context) {
  // 从服务端请求头中获取用户的session Cookie
  const requestCookies = context.req.headers.cookie;

  if (!requestCookies) {
    return { props: { user: null } };
  }

  try {
    // 调用Nest的用户信息接口，携带Cookie
    const userRes = await fetch(`${process.env.NEST_BACKEND_URL}/api/auth/me`, {
      headers: {
        Cookie: requestCookies,
      },
      // 确保请求携带凭证（针对跨域场景）
      credentials: 'include',
    });

    if (!userRes.ok) {
      throw new Error('认证失效');
    }

    const userData = await userRes.json();
    return { props: { user: userData } };
  } catch (err) {
    // 处理认证失败、接口异常等情况
    return { props: { user: null } };
  }
}

export default function Dashboard({ user }) {
  return (
    <div>
      {user ? (
        <div>欢迎回来，{user.nickname}</div>
      ) : (
        <div>请先登录</div>
      )}
    </div>
  );
}

2. 配置Nest后端跨域支持（跨域部署时） #

如果Next和Nest部署在不同域名下，需要在Nest的CORS配置中允许携带凭证：

// Nest main.ts
async function bootstrap() {
  const app = await NestFactory.create(AppModule);
  
  app.enableCors({
    origin: process.env.NEXT_FRONTEND_URL, // 你的Next域名
    credentials: true, // 允许携带Cookie
  });
  
  await app.listen(3001);
}
bootstrap();

3. 确保Session存储共享 #

如果Nest使用Redis等分布式Session存储，需要保证Next服务可以访问同一个Session存储（如果是单机内存Session则无需额外配置），确保Nest能识别Next转发的sessionToken。

为什么不考虑备选方案 #

你提到的前端维护accessToken方案，确实会带来额外的复杂度：需要在Next中维护用户表、实现认证逻辑，还得处理令牌刷新、跨域凭证等问题，完全违背你“熟悉Nest、偏好有状态会话”的需求，因此无需纳入考虑。

内容的提问来源于stack exchange，提问作者Palm