Outlook SafeLink策略拦截NextAuth魔法登录链接问题求助

问题根源 #

Outlook的SafeLink会对邮件内的链接发起预校验请求（可能是HEAD或GET），提前触发NextAuth的魔法链接验证逻辑，导致真正的用户点击时，链接已被标记为“已使用”，从而出现失效提示。仅拦截HEAD请求无效，因为SafeLink可能改用GET请求完成预校验。

可行解决方案 #

1. 在NextAuth中过滤机器人预请求 #

在[...nextauth].js/ts的signIn回调里，识别Outlook SafeLink的机器人请求，直接跳过验证逻辑，避免消耗魔法链接。这类请求的user-agent通常带有Microsoft Outlook或SafeLinks标识。

示例代码：

import NextAuth from "next-auth";
import EmailProvider from "next-auth/providers/email";

export default NextAuth({
  providers: [
    EmailProvider({
      server: process.env.EMAIL_SERVER,
      from: process.env.EMAIL_FROM,
    }),
  ],
  callbacks: {
    async signIn({ req }) {
      const userAgent = req.headers.get("user-agent") || "";
      // 匹配Outlook SafeLink相关的机器人标识
      const isSafeLinkBot = /Microsoft Outlook|SafeLinks/i.test(userAgent);
      
      if (isSafeLinkBot) {
        // 拒绝机器人请求，不消耗链接
        return false;
      }
      return true;
    },
  },
  // 可选：适当延长链接有效期，给用户留足够操作时间
  session: {
    maxAge: 15 * 60, // 15分钟
  },
});

2. 用中转页面隔离魔法链接 #

不直接在邮件里发送NextAuth原生的魔法链接，而是先指向一个自定义中转页面，用户点击后再跳转到真正的验证链接。这样SafeLink只会预请求中转页面，不会触发魔法链接的验证逻辑。

步骤：

1. 创建pages/magic-link-forward.js中转页面：

import { useEffect } from "react";
import { useRouter } from "next/router";

export default function MagicLinkForward() {
  const router = useRouter();
  const { token } = router.query;

  useEffect(() => {
    if (token) {
      window.location.href = `/api/auth/callback/email?token=${token}`;
    }
  }, [token]);

  return <div>正在跳转登录页面...</div>;
}

2. 修改邮件模板中的链接，将原本的/api/auth/callback/email?token=xxx替换为/magic-link-forward?token=xxx

3. 确保NextAuth配置的稳定性 #

• 确认NEXTAUTH_SECRET环境变量配置正确，避免因签名问题导致token提前失效
• 检查jwt回调逻辑，确保token的生成和验证流程没有异常

测试提示 #

尽量使用Outlook客户端测试，网页版的SafeLink策略可能和客户端存在差异，客户端测试更贴近真实用户场景。

内容的提问来源于stack exchange，提问作者Simão Quintela