NextAuth + Next.js13：用户角色添加失败问题排查

应用概况 #

我在Next.js Web应用中使用NextAuth实现了认证功能，采用Google OAuth作为登录提供商，目前认证功能正常运行。

需求目标 #

我希望为应用添加基于角色的访问控制（RBAC）：

• 除我的两个指定邮箱外，所有登录用户默认分配user角色；
• 使用我的两个邮箱登录时，分配admin角色；
• role字段需在客户端和服务端组件中均可访问；
• 在middleware.ts中用role做路由校验，限制部分路由仅对admin角色开放。

尝试方案 #

参考NextAuth官方RBAC文档，采用JWT会话策略：

• 在GoogleProvider中添加profile()函数，根据邮箱判断并分配角色，返回包含role的用户对象；
• 在next-auth.d.ts中扩展了user、jwt和session的默认类型。

遇到的问题 #

• profile()函数中已正确返回带role的用户对象，但在jwt和session回调中打印user对象时，找不到role属性，导致无法在组件中访问角色信息；
• jwt回调中的user对象包含emailVerified字段，这并非profile()函数返回的内容，和我理解的用户对象传递逻辑不符。

疑问 #

1. 为何role属性无法在session和jwt回调中获取？
2. 若profile()返回的用户对象会直接传入后续回调，为何jwt回调中的user对象结构与返回的不一致？

解决方案 #

1. 修正profile函数的返回逻辑 #

GoogleProvider的profile函数返回的对象会和NextAuth默认用户对象合并，但自定义字段需要显式声明才能被保留。确保role被正确添加：

import GoogleProvider from "next-auth/providers/google";

export const authOptions = {
  providers: [
    GoogleProvider({
      clientId: process.env.GOOGLE_CLIENT_ID!,
      clientSecret: process.env.GOOGLE_CLIENT_SECRET!,
      profile(profile) {
        const ADMIN_EMAILS = ["your-admin-1@example.com", "your-admin-2@example.com"];
        return {
          id: profile.sub,
          name: profile.name,
          email: profile.email,
          image: profile.picture,
          role: ADMIN_EMAILS.includes(profile.email) ? "admin" : "user"
        };
      }
    })
  ],
  session: { strategy: "jwt" },
  // 其他配置...
};

2. 手动同步role到JWT和Session #

NextAuth不会自动将自定义字段传递到JWT和Session，必须在回调中手动处理：

export const authOptions = {
  // ... providers 和 session 配置
  callbacks: {
    async jwt({ token, user }) {
      // 首次登录时user存在，将role存入token
      if (user) {
        token.role = user.role;
      }
      return token;
    },
    async session({ session, token }) {
      // 将token中的role同步到session对象
      if (session.user) {
        session.user.role = token.role as string;
      }
      return session;
    }
  }
};

3. 确保类型扩展正确 #

在项目根目录或types文件夹下的next-auth.d.ts中正确扩展类型：

import NextAuth from "next-auth";

declare module "next-auth" {
  interface User {
    role: "user" | "admin";
  }

  interface Session {
    user: User;
  }
}

declare module "next-auth/jwt" {
  interface JWT {
    role: "user" | "admin";
  }
}

问题原因解释 #

1. role无法传递的原因：NextAuth默认仅保留标准用户字段（如id、name、email等），自定义字段必须在jwt回调中手动存入token，再同步到session才能被组件访问。
2. emailVerified字段的来源：该字段是NextAuth从Google OAuth的原始返回信息中自动提取合并的，并非来自你写的profile函数。NextAuth会将提供商返回的原始数据与profile函数返回的对象合并，因此会出现额外字段。

内容的提问来源于stack exchange，提问作者HKS