NextAuth.js+Next.js引导页配置问题：用户可跳过引导进入主页面

不用每个页面单独做检查，直接在自定义Middleware里加逻辑就能一步搞定：

步骤1：给用户数据添加引导完成标记 #

先在你的MongoDB用户集合里新增一个字段，比如onBoarded，默认值设为false，等用户完成引导流程后再把这个字段更新为true。

步骤2：修改NextAuth配置，同步引导状态到Session #

在[...nextauth]/route.js里添加callbacks配置，把用户的onBoarded状态同步到JWT和Session中，让Middleware能直接获取到这个状态：

export const authOptions = {
    adapter: MongoDBAdapter(clientPromise),
    providers: [
        GoogleProvider({
            clientId: process.env.GOOGLE_ID,
            clientSecret: process.env.GOOGLE_SECRET
        })
    ],
    secret: process.env.NEXTAUTH_SECRET,
    session: {
        strategy: 'jwt',
    },
    pages: {
        signIn: '/login',
        newUser: '/onBoarding'
    },
    // 新增回调逻辑，同步引导状态
    callbacks: {
        async jwt({ token, user }) {
            // 用户首次登录时，把数据库里的onBoarded状态写入token
            if (user) {
                token.onBoarded = user.onBoarded;
            }
            return token;
        },
        async session({ session, token }) {
            // 将token中的onBoarded状态同步到session，供Middleware和前端使用
            session.user.onBoarded = token.onBoarded;
            return session;
        }
    }
}
const handler = NextAuth(authOptions)
export { handler as GET, handler as POST }

步骤3：自定义Middleware，强制拦截未完成引导的用户 #

不再直接导出默认的NextAuth Middleware，自己编写逻辑实现强制跳转：

import { getToken } from "next-auth/jwt";
import { NextResponse } from "next/server";
import type { NextRequest } from "next/server";

export async function middleware(req: NextRequest) {
    const path = req.nextUrl.pathname;
    // 定义无需拦截的路径：登录页、API接口、引导页本身
    const isPublicPath = path === '/login' || path.startsWith('/api') || path === '/onBoarding';
    
    // 获取用户的JWT Token
    const token = await getToken({ req, secret: process.env.NEXTAUTH_SECRET });

    // 已登录但未完成引导，且当前不在引导页 → 强制跳转到引导页
    if (token && !token.onBoarded && !isPublicPath) {
        return NextResponse.redirect(new URL('/onBoarding', req.url));
    }

    // 其他情况：已完成引导的登录用户、未登录用户访问公开路径 → 正常放行
    return NextResponse.next();
}

export const config = {
    matcher: ["/((?!login|api).*)"], // 拦截除登录页、API外的所有路径
};

关键说明 #

• 所有已登录但未完成引导的用户，不管尝试访问主页还是dashboard，都会被直接重定向到引导页，彻底避免绕过问题。
• 用户完成引导流程后，记得把数据库中该用户的onBoarded字段更新为true，下次登录时Session会同步这个状态，用户就能正常访问核心路由了。

内容的提问来源于stack exchange，提问作者rohit