@auth0/nextjs-auth0中withMiddlewareAuthRequired用途及getSession返回null排查

我需要在GraphQL API中完成用户认证，计划使用@auth0/nextjs-auth0提供的accessToken。经尝试，用withMiddlewareAuthRequired包裹中间件并调用getSession可正常获取会话信息，但将逻辑移至app/api/session路由调用getSession时，user变量返回null，求原因分析。

代码示例 #

中间件代码 #

import { NextResponse } from "next/server";

import {
  withMiddlewareAuthRequired,
  getSession,
} from "@auth0/nextjs-auth0/edge";

export default withMiddlewareAuthRequired(async function middleware(req) {
  const res = NextResponse.next();
  const user = await getSession(req, res);
  if (user) {
    console.log("session details: ", user);
    res.user = user;
    return user;
  }
  return res;
});

API路由代码 #

import { getSession } from "@auth0/nextjs-auth0";
import { NextResponse } from "next/server";

export async function GET(req) {
  try {
    const res = new NextResponse();
    const user = await getSession(req, res);
    console.log("user: ", user);
    return res;
  } catch (error) {
    console.log("session error: ", error);
  }
}

原因分析 #

1. 中间件返回值错误，破坏Cookie传递逻辑 #

你的中间件在获取到user后直接返回了user对象，而非NextResponse实例。中间件必须返回NextResponse类型的响应，否则会导致后续请求的Cookie上下文被破坏，API路由无法读取到认证Cookie。

2. Edge与Node.js Runtime环境不匹配 #

中间件使用的是@auth0/nextjs-auth0/edge下的getSession（适配Edge Runtime），而API路由导入的是根路径下的getSession（默认适配Node.js Runtime）。两个环境的会话解析机制不同：Edge环境依赖Cookie Store API，Node.js环境依赖传统Cookie解析，环境不匹配会导致无法读取会话数据。

3. API路由中Response实例使用错误 #

你在API路由中创建了全新的NextResponse实例，但没有关联请求的Cookie上下文。getSession需要从请求的Cookie中读取会话数据，空的Response实例无法提供必要的上下文，导致无法解析会话。

4. 请求未正确携带认证Cookie #

如果客户端调用API路由时没有携带认证Cookie（比如跨域请求未设置credentials: 'include'），getSession自然无法获取到会话信息。

解决方案 #

1. 修复中间件的返回值 #

中间件必须返回NextResponse实例，不能返回user对象：

import { NextResponse } from "next/server";
import { withMiddlewareAuthRequired, getSession } from "@auth0/nextjs-auth0/edge";

export default withMiddlewareAuthRequired(async function middleware(req) {
  const res = NextResponse.next();
  const user = await getSession(req, res);
  if (user) {
    console.log("session details: ", user);
    // 可通过headers传递用户信息，不要修改res.user
    res.headers.set('X-User-Id', user.user.sub);
  }
  return res;
});

2. 统一API路由的Runtime环境 #

将API路由切换为Edge Runtime，并使用对应版本的getSession：

// 声明使用Edge Runtime
export const runtime = 'edge';
import { getSession } from "@auth0/nextjs-auth0/edge";
import { NextResponse } from "next/server";

export async function GET(req) {
  try {
    const res = NextResponse.next();
    const user = await getSession(req, res);
    console.log("user: ", user);
    return NextResponse.json(user || { message: "无有效会话" });
  } catch (error) {
    console.log("session error: ", error);
    return NextResponse.json({ error: "获取会话失败" }, { status: 500 });
  }
}

3. 确保客户端请求携带Cookie #

客户端调用API路由时，需设置携带Cookie：

// 同域请求
fetch('/api/session', { credentials: 'include' })

// 跨域请求需配合后端CORS配置
fetch('https://your-domain/api/session', {
  credentials: 'include',
  mode: 'cors'
})

内容的提问来源于stack exchange，提问作者shivam