如何禁用NextAuth.JS Credentials JWT授权的自动重定向功能？

核心解决方案：通过自定义Middleware控制路由访问权限 #

NextAuth.js在/app目录下的全局自动重定向，源于默认的认证拦截逻辑。要禁用全局重定向，需通过自定义Middleware精确控制哪些路由需要强制认证、哪些允许未登录用户访问，同时调整NextAuth配置避免自动跳转。

步骤1：调整NextAuth配置，禁用自动重定向 #

修改你的authOptions，添加redirect回调，仅在特定场景下重定向，其他情况返回false避免自动跳转：

export const authOptions = {
  providers: [credProvider],
  session: {
    strategy: 'jwt'
  },
  pages: {
    signIn: '/auth/credentials-signin',
    newUser: '/auth/credentials-signup'
  },
  // 添加redirect回调，控制重定向逻辑
  callbacks: {
    async redirect({ url, baseUrl }) {
      // 仅在用户主动发起登录请求后，重定向到目标页
      if (url.startsWith(baseUrl)) return url;
      // 未登录访问私有路由的情况由Middleware处理，返回baseUrl避免无限循环
      return baseUrl;
    }
  }
}

步骤2：创建自定义Middleware（middleware.ts） #

在项目根目录创建middleware.ts文件，用NextAuth的auth函数获取会话，定义公开路由列表，实现精准访问控制：

import { auth } from '@/app/api/auth/[...nextauth]/route';
import { NextResponse } from 'next/server';

export default async function middleware(req) {
  const session = await auth();
  const { pathname } = req.nextUrl;

  // 定义允许未登录用户访问的公开路由
  const publicRoutes = [
    '/',
    '/auth/credentials-signin',
    '/auth/credentials-signup'
    // 添加其他需要公开访问的路由
  ];

  // 访问公开路由，直接放行
  if (publicRoutes.includes(pathname)) {
    return NextResponse.next();
  }

  // 访问私有路由且未登录，重定向到登录页
  if (!session && !publicRoutes.includes(pathname)) {
    return NextResponse.redirect(new URL('/auth/credentials-signin', req.url));
  }

  // 已登录用户访问任意路由，放行
  return NextResponse.next();
}

// 指定Middleware作用的路由范围（默认覆盖所有非静态资源路由）
export const config = {
  matcher: ['/((?!api|_next/static|_next/image|favicon.ico).*)'],
};

步骤3：服务器组件中手动检查会话（可选） #

对于需要细粒度控制的页面，可在服务器组件中直接获取会话，灵活处理内容展示：

import { auth } from '@/app/api/auth/[...nextauth]/route';

export default async function SomePage() {
  const session = await auth();

  if (!session) {
    return <div>请先登录以查看完整内容</div>;
  }

  return <div>欢迎，{session.user?.name}</div>;
}

疑问解答 #

1. 是否需要向NextAuth团队提交问题？
   不需要，/app目录的集成是完整的，默认全局重定向逻辑需通过Middleware覆盖，这是NextJS 13 App Router的设计要求，并非文档缺失。

2. pages选项是否依赖pages目录文件？
   NextAuth v4支持在/app目录下使用自定义登录页面，只要在/app/auth/credentials-signin等路径下创建对应服务器/客户端组件即可，无需回到pages目录。

对已尝试方法的补充 #

• 返回"guest"会话不符合认证规范，会混淆状态，不建议使用。
• 此前重写redirect回调导致无限循环，是因为未正确判断重定向场景，按照步骤1的回调逻辑可避免该问题。

内容的提问来源于stack exchange，提问作者ChrisWeldonEvans