next-auth CredentialsProvider错误登录仍创建会话问题求助

问题分析 #

你的核心问题出在CredentialsProvider的authorize方法错误处理逻辑上：

• 当API返回登录失败（users.data.status === 'error'）时，你返回了null，但NextAuth在JWT会话策略下，即便authorize返回null，若已有会话可能不会清除；更关键的是catch块直接返回了错误响应数据（含status: "error"的对象），NextAuth会把这个返回值当成合法用户对象，进而创建会话并将错误信息存入user字段。
• 你的jwt和session回调会无条件将user赋值给token和session，进一步导致错误信息被保留在会话中。

修复方案 #

1. 修正authorize方法的错误处理逻辑 #

authorize方法只有返回有效用户对象才代表登录成功，任何失败场景都要抛出错误，而非返回null或错误对象。修改后的代码如下：

async authorize(credentials) {
  try {
    const config = {
      headers: {
        Authorization: `Bearer ${process.env.USER_TOKEN}`
      },
    }
    const users = await axios.post(`https://brp.io/api/users/signin`, {
      user_email: credentials.email,
      user_password: credentials.password
    }, config); 

    if(users.data.status !== 'error') {
      // 返回有效用户信息
      return users.data.message;
    } else {
      // 登录失败时抛出错误
      throw new Error(users.data.message);
    }
  } catch(error) {
    // 捕获API请求异常或自定义错误，统一抛出
    throw new Error(error.response?.data?.message || '登录失败，请稍后重试');
  }
}

2. 优化jwt和session回调（可选但更严谨） #

添加判断逻辑，确保只有user是有效用户时才更新token和session，避免错误数据被存入：

callbacks: {
  async session({ session, token }) {
    // 仅当token中存在有效用户时才赋值
    if (token.user && typeof token.user.status === 'undefined') {
      session.user = token.user;
    } else {
      // 清除错误的会话用户信息
      delete session.user;
    }
    return session;
  },
  
  async jwt({ token, user }) {
    // 仅当user是有效用户时才更新token
    if (user && typeof user.status === 'undefined') {
      token.user = user;
    }
    return token;
  },
},

3. 前端捕获登录错误（补充） #

修改后，登录失败时authorize会抛出错误，NextAuth不会创建新会话。你可以在前端通过signIn方法的返回值捕获错误并提示用户：

const result = await signIn('credentials', {
  email: 'xxx',
  password: 'xxx',
  redirect: false
});

if (result.error) {
  // 提示用户登录失败
  alert(result.error);
}

关键原理回顾 #

NextAuth的CredentialsProvider遵循以下规则：

• authorize返回非null对象：视为登录成功，该对象会传入jwt回调存入token
• authorize抛出错误：视为登录失败，错误信息会返回给前端，不会创建会话
• authorize返回null：在JWT策略下，不会创建新会话，但已有会话可能保留（因此推荐抛出错误而非返回null）

内容的提问来源于stack exchange，提问作者NroGamerz