使用NextAuth.js时Session Callback无法从JWT Token填充用户ID

问题背景 #

在Next.js应用中使用NextAuth的Credentials Provider做身份验证，已配置JWT和Session回调。JWT回调可正确将用户id和username填充到token对象中，但Session回调无法将这些字段同步到session的user对象内。

问题详情 #

• 登录阶段：JWT回调日志显示token已填充完整，但参数user为undefined；
• 后续请求：JWT回调中的token包含正确的id和username字段，但返回的session.user仅包含name、email、image三个字段，且全部为undefined；
• 已尝试方案：显式设置session.user字段、检查覆盖逻辑、确认authorize回调返回结构，均未解决问题。

相关代码 #

JWT回调代码 #

async jwt({ token, user }) {
  console.log('JWT callback received:', token, user);
  if (user) {
    return { ...token, id: user.id, username: user.username };
  } else {
    console.error('User is undefined:', user);
  }
  return token;
}

Session回调代码 #

async session({ session, token }) {
  if (session && token) {
    session.user = { id: token.id, username: token.username };
  } else {
    console.error('Session or token is undefined:', session, token);
  }
  return session;
}

日志与Session信息 #

JWT回调日志 #

JWT callback received: { sub: '64b74dbc3e53473ebe02f410', id: '64b74dbc3e53473ebe02f410', username: '321', iat: 1693316359, exp: 1693402759, jti: '913eb411-c0cc-4fcc-98f6-ea3b194f2029' } undefined
User is undefined: undefined

返回的Session对象 #

{ user: { name: undefined, email: undefined, image: undefined }, expires: '2023-09-28T13:39:40.800Z' }

排查与修复建议 #

1. 确认Session策略配置
   确保NextAuth主配置中设置了JWT策略，Credentials Provider仅支持JWT模式：

   export default NextAuth({
     session: { strategy: "jwt" },
     providers: [CredentialsProvider({ ... })],
     // 其他配置
   })
   

2. 修正JWT回调逻辑
   登录后JWT回调会多次触发，只有首次登录时user参数才会存在，后续刷新时user为undefined是正常现象，无需报错。调整后的代码：

   async jwt({ token, user }) {
     // 仅在登录阶段（user存在时）合并用户信息
     if (user) {
       return { ...token, id: user.id, username: user.username };
     }
     // 后续请求直接返回现有token
     return token;
   }
   

3. 检查Authorize回调返回值
   确保Credentials Provider的authorize回调返回的用户对象包含id和username字段：

   async authorize(credentials) {
     // 自定义用户验证逻辑（比如查询数据库）
     const user = await verifyUser(credentials);
     if (user) {
       // 必须返回包含id和username的对象
       return { id: user._id, username: user.username };
     }
     // 验证失败返回null
     return null;
   }
   

4. 优化Session回调赋值方式
   避免直接覆盖session.user导致默认字段丢失，改为增量赋值：

   async session({ session, token }) {
     if (token) {
       // 将token中的字段同步到session.user
       session.user.id = token.id;
       session.user.username = token.username;
       // 可选：将username映射到默认name字段，避免前端无数据
       session.user.name = token.username;
     }
     return session;
   }
   

5. 清除缓存与旧Session
   浏览器中清除相关Cookie和本地存储，重新登录测试，避免旧Session数据干扰。

6. 核对NextAuth版本
   不同版本的NextAuth回调参数逻辑可能存在差异，确保使用的版本与代码逻辑匹配（建议使用v4稳定版）。

内容的提问来源于stack exchange，提问作者RawData