如何修复Strapi中Auth0配置以解决‘Grant: missing session’错误

• 检查Auth0应用配置

  • 确认Auth0应用的允许回调URL完全匹配Strapi配置里的callbackUrl，比如Strapi运行在http://localhost:1337时，回调URL必须设为http://localhost:1337/api/connect/auth0/callback，不能有拼写错误或端口差异。
  • 验证Auth0应用的允许Web来源包含你的前端域名（如http://localhost:3000），跨域限制会直接导致会话丢失。

• 核对Strapi Auth0提供商配置

  • 确保config/plugins.js里的参数配置准确：

    // config/plugins.js
    module.exports = ({ env }) => ({
      users-permissions: {
        config: {
          providers: {
            auth0: {
              enabled: true,
              clientId: env('AUTH0_CLIENT_ID'),
              clientSecret: env('AUTH0_CLIENT_SECRET'),
              domain: env('AUTH0_DOMAIN'), // 格式为xxx.auth0.com，不要加http/https前缀
              callbackUrl: env('AUTH0_CALLBACK_URL'), // 必须与Auth0后台的回调URL完全一致
            },
          },
        },
      },
    });
    

  • 检查环境变量是否正确加载，比如AUTH0_DOMAIN有没有多余路径，clientId和clientSecret是否与Auth0后台完全匹配，避免复制时出现字符遗漏。

• 验证前端回调请求的正确性

  • 确保前端传递的tokenQuery参数完整，Auth0授权后返回的code和state必须原封不动传给Strapi回调接口，不能篡改或遗漏。
  • 确认请求为GET方法，Strapi的Auth0回调接口仅支持GET请求，使用POST会直接导致会话验证失败。

• 排查会话与Cookie问题

  • 若前端和Strapi不在同一域，需在Strapi的config/middlewares.js中配置CORS允许传递Cookie：

    // config/middlewares.js
    module.exports = [
      {
        name: 'strapi::cors',
        config: {
          origin: ['http://localhost:3000'],
          credentials: true, // 必须开启，允许跨域传递会话Cookie
        },
      },
    ];
    

  • 清除浏览器缓存和Cookie后重新测试，旧的无效会话可能干扰验证流程。

• 查看Strapi服务器日志

  • 检查./logs/目录下的Strapi日志，里面会有更详细的错误细节，比如Auth0返回的具体错误信息，或是Strapi会话验证环节的问题，能快速定位核心原因。

内容的提问来源于stack exchange，提问作者Hideo Takeda