NextJS+NextAuth用户订阅状态同步与JWT更新问题咨询

一、是否应将is_subscribed存入Session？ #

可以存，但要明确边界：

• 前端存这个字段的核心作用是快速渲染UI（比如切换"已订阅"/"开通订阅"按钮），避免每次渲染都请求后端接口，提升体验。
• 绝对不能用Session里的is_subscribed做付费内容的权限校验——所有涉及付费权限的后端逻辑，必须直接查询数据库的is_subscribed字段，防止用户篡改本地Session绕过校验。

二、JWT过期前同步取消订阅状态的解决办法 #

方案1：操作后主动刷新Session #

在用户完成订阅/取消订阅的操作后，直接调用NextAuth的Session更新方法，强制拉取最新用户数据：

import { useSession } from "next-auth/react";

const handleUnsubscribe = async () => {
  // 调用取消订阅后端接口
  await fetch('/api/unsubscribe', { method: 'POST' });
  // 刷新Session
  const { update } = useSession();
  await update();
};

方案2：自定义Session回调，每次请求同步最新状态 #

在[...nextauth].js中配置jwt和session回调，每次前端获取Session时，自动从数据库拉取最新订阅状态并更新：

import NextAuth from "next-auth";
import CredentialsProvider from "next-auth/providers/credentials";
import { prisma } from "../../../lib/prisma"; // 示例数据库客户端

export default NextAuth({
  providers: [
    CredentialsProvider({
      async authorize(credentials) {
        // 原有认证逻辑，返回包含核心信息的用户对象
        const user = await prisma.customer.findUnique({
          where: { email: credentials.email },
          select: { customer_id: true, name: true, is_subscribed: true }
        });
        return user;
      }
    })
  ],
  session: { strategy: "jwt" },
  callbacks: {
    async jwt({ token, user }) {
      // 首次登录初始化token数据
      if (user) {
        token.customer_id = user.customer_id;
        token.name = user.name;
        token.is_subscribed = user.is_subscribed;
      }
      // 每次生成JWT时，同步最新订阅状态
      const updatedUser = await prisma.customer.findUnique({
        where: { customer_id: token.customer_id },
        select: { is_subscribed: true }
      });
      token.is_subscribed = updatedUser.is_subscribed;
      return token;
    },
    async session({ session, token }) {
      // 将token数据同步到session供前端使用
      session.user.customer_id = token.customer_id;
      session.user.name = token.name;
      session.user.is_subscribed = token.is_subscribed;
      return session;
    }
  }
});

注：这种方式每次请求Session都会查数据库，可通过Redis缓存用户订阅状态来降低数据库压力。

方案3：缩短JWT过期时间+自动刷新 #

把JWT过期时间设为较短周期，结合NextAuth的自动刷新机制，定期同步最新状态：

session: {
  strategy: "jwt",
  maxAge: 15 * 60, // 15分钟过期
  updateAge: 5 * 60, // 每5分钟自动刷新一次Session
},

适合对实时性要求不高的场景，无需手动触发刷新。

内容的提问来源于stack exchange，提问作者Vpp Man