使用Next-Auth绑定社交账号而非登录的技术问题求助

问题1：获取当前登录用户的MongoDB _id #

在signIn回调中，你可以通过NextAuth的getToken方法获取当前用户的JWT Token，从中提取已存入的用户ID（需要先在jwt回调里把MongoDB _id写入Token）。

步骤1：在jwt回调中存入用户ID

async jwt({ token, user }) {
  // 用户首次登录时，将MongoDB _id写入token
  if (user) token.id = user._id;
  return token;
}

async session({ session, token }) {
  // 把ID同步到session，供前端使用
  session.user.id = token.id;
  return session;
}

步骤2：在signIn回调中获取用户ID

import { getToken } from "next-auth/jwt";

async signIn(params) {
  const { account, req } = params;
  const secret = process.env.NEXTAUTH_SECRET;
  
  // 获取当前用户的Token，从中提取ID
  const token = await getToken({ req, secret });
  const currentUserId = token?.id;

  if (account?.provider === "twitter" && !currentUserId) {
    // 用户未登录时直接拒绝绑定操作
    return false;
  }
  // ...后续逻辑
}

问题2：避免重复生成账号 #

处理第三方账号绑定时，先查询accounts集合是否已存在该用户关联的对应账号，不存在才新增记录：

case "twitter":
  // 检查当前用户是否已绑定该Twitter账号
  const existingAccount = await db.collection("accounts").findOne({
    userId: currentUserId,
    provider: account.provider,
    providerAccountId: account.providerAccountId
  });

  if (!existingAccount) {
    // 仅当账号未绑定时，新增关联记录
    await db.collection("accounts").insertOne({
      userId: currentUserId,
      ...account,
      createdAt: new Date()
    });
  }
  break;

问题3：最优账号绑定实现方案 #

NextAuth原生支持单用户关联多第三方账号，正确的绑定流程应该是：

1. 强制Discord登录校验：仅允许用户通过Discord完成首次登录，在signIn回调的discord分支完成准入校验，拒绝未授权用户登录。
2. 已登录用户绑定账号：前端仅对已登录用户显示绑定入口，调用signIn('twitter', { callbackUrl: '/profile' })触发绑定流程。
3. 回调中关联账号：在signIn回调的非Discord分支，仅做账号关联逻辑，拒绝未登录用户的绑定请求。

完整优化后的signIn回调示例

import { getToken } from "next-auth/jwt";
import clientPromise from "../lib/mongodb";

async signIn(params) {
  const { user, account, profile, req } = params;
  const client = await clientPromise;
  const db = client.db("mongoDB");
  const secret = process.env.NEXTAUTH_SECRET;

  if (!account) return false;

  switch (account.provider) {
    case "discord":
      // 执行你的用户准入校验逻辑
      const isAllowed = await checkUserEligibility(profile); // 替换为你的校验函数
      if (!isAllowed) return false;

      // 检查用户是否已存在，不存在则创建
      const existingUser = await db.collection("users").findOne({ discordId: profile.id });
      if (!existingUser) {
        await db.collection("users").insertOne({
          discordId: profile.id,
          name: profile.username,
          avatar: profile.avatar,
          createdAt: new Date()
        });
      }
      return true;

    case "twitter":
      // 获取当前登录用户ID，未登录则拒绝绑定
      const token = await getToken({ req, secret });
      const currentUserId = token?.id;
      if (!currentUserId) return false;

      // 避免重复绑定
      const existingTwitter = await db.collection("accounts").findOne({
        userId: currentUserId,
        provider: "twitter",
        providerAccountId: account.providerAccountId
      });
      if (!existingTwitter) {
        await db.collection("accounts").insertOne({
          userId: currentUserId,
          ...account,
          createdAt: new Date()
        });
        // 更新用户模型，存入Twitter信息
        await db.collection("users").updateOne(
          { _id: currentUserId },
          { $set: { twitterUsername: profile.data.username } }
        );
      }
      return true;

    default:
      // 拒绝其他未授权的登录/绑定请求
      return false;
  }
}

内容的提问来源于stack exchange，提问作者Couch