多端口运行NextAuth应用遇登出及middleware会话获取失败

一、解决多应用令牌互用导致的解密失败 #

核心原因 #

本地不同端口的应用共享localhost域，NextAuth默认的Session Cookie名称均为next-auth.session-token，且每个应用的NEXTAUTH_SECRET独立，导致其他应用读取到不属于自己的Cookie时，解密失败并删除无效Cookie，触发登出。

解决步骤 #

1. 为每个应用配置唯一的Session Cookie名称
   在每个应用的NextAuth配置中，自定义sessionToken的Cookie名称，确保三个应用各不相同：

   // localhost:3001的NextAuth配置示例
   export default NextAuth({
     // 其他配置项...
     cookies: {
       sessionToken: {
         name: "product1-next-auth.session-token", // 3000可设为app1-xxx，3002设为app3-xxx
         options: {
           httpOnly: true,
           sameSite: "lax",
           path: "/",
           // 注意：localhost为HTTP环境，secure设为true会导致Cookie无法发送给服务器
           secure: process.env.NODE_ENV === "production",
         },
       },
     },
   });
   

2. 确保每个应用使用独立的NEXTAUTH_SECRET
   在每个应用的.env文件中设置不同的密钥，示例：

   // 3001的.env
   NEXTAUTH_SECRET=your-unique-secret-key-for-app1
   // 3000的.env
   NEXTAUTH_SECRET=your-unique-secret-key-for-app2
   

二、解决Middleware中Session/Token返回Null的问题 #

核心原因 #

1. 你之前设置secure: true，但localhost是HTTP环境，浏览器不会将带secure标记的Cookie发送给服务器，导致后端无法读取。
2. getSession/getToken默认查找NextAuth的默认Cookie名称，自定义名称后需手动指定。

解决步骤 #

1. 修正Cookie的secure配置
   将secure设置为仅在生产环境启用，确保本地HTTP环境下Cookie能正常发送：

   secure: process.env.NODE_ENV === "production"
   

2. 在Middleware中指定自定义Cookie名称
   调用getToken时，传入自定义的Cookie名称参数：

   import { getSession, getToken } from "next-auth/react";
   
   export async function middleware(req) {
     // 指定自定义的sessionToken cookie名称
     const token = await getToken({ 
       req,
       cookieName: "product1-next-auth.session-token"
     });
     const session = await getSession({ req });
     console.log("MIDSession: ", session);
     console.log("MIDToken: ", token);
   
     // 你的后续业务逻辑...
   }
   

3. 推荐使用App Router的auth()函数（若适用）
   如果你使用Next.js App Router，直接使用NextAuth提供的auth()函数，它会自动读取你配置的自定义Cookie：

   import { auth } from "@/app/api/auth/[...nextauth]/route";
   
   export async function middleware(req) {
     const session = await auth();
     console.log("MIDSession: ", session);
   }
   

4. 检查NEXTAUTH_URL配置
   在每个应用的.env中设置正确的地址：

   NEXTAUTH_URL=http://localhost:3001
   

内容的提问来源于stack exchange，提问作者coolguy123