Next.js/Next-Auth登录遇Missing code_verifier错误求助

针对你遇到的登录后返回错误页、无痕模式必现Missing code_verifier的问题，这是**PKCE（授权码流程增强）**流程中客户端丢失验证密钥导致的，结合Next-auth v3和你的场景，给出以下排查和修复方案：

• 确认PKCE配置是否正确启用
  Next-auth v3中，OAuth Provider默认可能未强制开启PKCE。检查你在[...nextauth].js中的Provider配置，确保添加pkce: true选项，同时确认Identity Server已开启PKCE支持（Identity Server 4+默认支持）：

  providers: [
    {
      id: 'haymarket-idp',
      name: 'Haymarket账户',
      type: 'oauth',
      version: '2.0',
      pkce: true, // 必须开启，匹配Identity Server的PKCE要求
      authorization: {
        url: 'https://your-identity-server.com/connect/authorize',
        params: { scope: 'openid profile email' }
      },
      token: 'https://your-identity-server.com/connect/token',
      userinfo: 'https://your-identity-server.com/connect/userinfo',
      clientId: process.env.IDP_CLIENT_ID,
      clientSecret: process.env.IDP_CLIENT_SECRET,
      callbackUrl: process.env.NEXTAUTH_URL + '/api/auth/callback/haymarket-idp'
    }
  ]
  

• 修复Cookie会话存储问题
  无痕模式下浏览器会限制第三方Cookie，需要调整Next-auth的Cookie配置，确保会话数据（包括code_verifier）能被正确存储和读取：
  在[...nextauth].js的session配置中添加Cookie参数：

  session: {
    strategy: 'jwt',
    maxAge: 24 * 60 * 60,
  },
  cookies: {
    sessionToken: {
      name: `__Secure-next-auth.session-token`,
      options: {
        httpOnly: true,
        sameSite: 'Lax', // 跨域场景可设为'None'，但需配合secure: true
        path: '/',
        secure: process.env.NODE_ENV === 'production', // HTTPS环境必须开启
        domain: process.env.NEXTAUTH_URL?.replace(/^https?:\/\/www\./, '').replace(/\/$/, '')
      }
    }
  }
  

  注意：如果Identity Server和主站是跨域域名，sameSite需设为None，同时secure必须为true（仅HTTPS环境生效）。

• 校验回调URL的一致性
  确保Identity Server控制台中配置的回调URL和Next-auth中callbackUrl完全一致，包括协议（HTTP/HTTPS）、域名、路径，任何细微差异都会导致会话参数丢失。

• 排查会话序列化问题
  如果使用jwt会话策略，检查jwt和session回调函数是否正确处理自定义字段，避免覆盖或丢失Next-auth内置的PKCE相关数据：

  jwt: async (token, user, account) => {
    // 仅添加自定义字段，不要修改或删除token中原有的内置属性
    if (account) {
      token.accessToken = account.accessToken;
      token.idToken = account.idToken;
    }
    return token;
  },
  session: async (session, token) => {
    session.user.accessToken = token.accessToken;
    session.user.idToken = token.idToken;
    return session;
  }
  

• 清除旧缓存和会话
  测试前手动清除浏览器的Cookie和缓存，避免旧的无效会话数据干扰新的认证流程。

内容的提问来源于stack exchange，提问作者Kishan Makkar