Next-Auth切换Prisma适配器后中间件路由鉴权失效求助

1. Next-Auth默认中间件是否仅适配JWT策略？ #

是的。默认中间件运行在边缘计算环境，无法直接访问数据库（Prisma适配器依赖数据库存储会话），它只能通过Cookie中的JWT令牌快速验证用户身份。切换到数据库会话策略后，默认不会生成JWT，因此中间件找不到有效验证依据，会拒绝所有请求。而getServerSession和useSession会直接查询数据库，所以能正常返回用户数据。

2. 适配Prisma适配器的最优方案 #

方案一：启用JWT Fallback（官方推荐） #

在Next-Auth配置中同时启用数据库会话和JWT，让中间件用JWT做快速身份验证，数据库会话负责持久化存储和服务器端操作（如会话撤销、用户信息更新）。这种方式性能最优，无需修改原中间件逻辑。

配置示例：

// app/api/auth/[...nextauth]/route.js
import NextAuth from "next-auth";
import GoogleProvider from "next-auth/providers/google";
import PrismaAdapter from "@next-auth/prisma-adapter";
import prisma from "@/lib/prisma";

export const authOptions = {
  adapter: PrismaAdapter(prisma),
  providers: [
    GoogleProvider({
      clientId: process.env.GOOGLE_CLIENT_ID,
      clientSecret: process.env.GOOGLE_CLIENT_SECRET,
    }),
  ],
  session: {
    strategy: "database", // 核心会话数据存在数据库
    jwt: true, // 生成JWT供中间件做验证兜底
  },
  jwt: {
    secret: process.env.NEXTAUTH_JWT_SECRET,
  },
};

export default NextAuth(authOptions);

中间件保持原极简配置即可：

export { default } from "next-auth/middleware";
export const config = {
  matcher: ["/((?!api/auth|_next/static|_next/image|favicon.ico|login).*)"],
};

方案二：优化自定义验证逻辑 #

如果无法启用JWT Fallback，可以直接复用Next-Auth的getServerSession替代手动请求/api/auth/session，避免硬编码地址和额外请求开销：

import { withAuth, getServerSession } from "next-auth/middleware";
import { authOptions } from "./app/api/auth/[...nextauth]/route";

export default withAuth({
  callbacks: {
    authorized: async () => {
      const session = await getServerSession(authOptions);
      return !!session?.user;
    },
  },
});

export const config = {
  matcher: ["/((?!api/auth|_next/static|_next/image|favicon.ico|login).*)"],
};

注意：该方案每次请求会触发数据库查询，性能略逊于JWT Fallback方案。

3. 你的临时方案的优缺点 #

• 优点：逻辑简单，无需修改Next-Auth核心配置。
• 缺点：额外的/api/auth/session请求增加延迟，硬编码localhost在生产环境会失效，且重复造轮子不如复用官方API可靠。

内容的提问来源于stack exchange，提问作者Leonardo