如何用nextjs-auth0的useUser()不读Cookie查用户？sessionCache解惑

一、不读取Cookie时使用useUser()查询用户 #

默认情况下，useUser() 依赖 /api/auth/me 接口，而该接口默认通过读取Cookie中的加密会话数据来获取用户信息。如果要绕过Cookie，可通过以下方式实现：

• 自定义API路由验证令牌

  1. 前端在登录后，将Auth0返回的id_token或access_token安全存储（比如内存中，或非HttpOnly但开启Secure属性的Cookie，需做好XSS防护）。
  2. 新建自定义API路由（如 /api/auth/custom-me），在路由中：
     • 从请求头（如 Authorization: Bearer <token>）提取令牌。
     • 使用Auth0官方SDK验证令牌合法性，并解析出用户信息。
  3. 自定义一个类似useUser()的Hook，调用该自定义API路由，替代默认的/api/auth/me。

  示例代码（自定义API路由）：

  import { verifyIdToken } from '@auth0/nextjs-auth0';
  
  export default async function handler(req, res) {
    try {
      const authHeader = req.headers.authorization;
      if (!authHeader || !authHeader.startsWith('Bearer ')) {
        return res.status(401).json({ error: 'Unauthorized' });
      }
      const token = authHeader.split(' ')[1];
      const { user } = await verifyIdToken(token);
      res.status(200).json({ user });
    } catch (error) {
      res.status(401).json({ error: 'Invalid token' });
    }
  }
  

• 注意事项

  • 前端直接存储令牌存在XSS风险，需确保页面有完善的XSS防护机制。
  • 验证令牌必须使用Auth0官方提供的方法，确保签名、有效期等验证逻辑正确。

二、sessionCache在无服务器函数调用间的持久化逻辑 #

你对无服务器函数独立性的理解是正确的，但误解了默认sessionCache的实现方式：

• 默认sessionCache基于Cookie，而非内存
  正如官方文档所述：

  默认情况下，会话是无状态的，存储在加密Cookie中。但如果需要有状态会话，你可以提供一个包含 get、set 和 destroy 方法的存储来在服务器端存储会话。

  默认配置下，sessionCache的get、set、destroy方法并非操作内存中的缓存条目，而是直接操作加密的HTTP Cookie：

  1. 登录时，callbackHandler会将包含用户信息、令牌的会话数据加密后，写入响应的Cookie中（默认是HttpOnly、Secure属性的Cookie，防止前端篡改和XSS窃取）。
  2. 后续调用/api/auth/me或其他Auth0接口时，浏览器会自动携带该Cookie到服务器。sessionCache.isAuthenticated()方法会从请求Cookie中读取加密数据，解密后验证会话有效性，从而获取用户信息。

• 无服务器函数间的会话共享
  由于会话数据存储在Cookie中，而非函数实例的内存里，所以即使每次API调用都是独立的无服务器函数实例，只要请求携带了正确的Cookie，sessionCache就能读取并解析出会话数据，实现跨调用的会话持久化。

• 有状态会话的区别
  文档中提到的“有状态会话”是指将会话数据存储在服务器端（如Redis、数据库），此时需要自定义sessionCache的存储实现，替代默认的Cookie存储。这种情况下，Cookie中仅存储会话ID，服务器通过ID从后端存储中获取完整会话数据。

内容的提问来源于stack exchange，提问作者Magnus