NextAuth.js v4.19.2 Credentials Provider授权返回异常求助

问题场景 #

使用NextAuth.js 4.19.2版本，搭配Credentials（数据库）提供者及自定义登录、登出页面。在authorize()处理器中无法返回预期结果，尝试过return user、return null以及Promise.resolve(user)、Promise.reject(null)均无效，前端调用signIn后始终返回认证失败。

原代码 #

API路由代码（/pages/api/auth/[...nextauth].js） #

import NextAuth from "next-auth";
import CredentialsProvider from "next-auth/providers/credentials";
import GoogleProvider from "next-auth/providers/google";
import User from "../../../../models/User";

export const authOptions = {
  providers: [
    GoogleProvider({
      clientId: process.env.GOOGLE_CLIENT_ID,
      clientSecret: process.env.GOOGLE_CLIENT_SECRET,
    }),
    CredentialsProvider({
      name: "Credentials",

      async authorize(credentials, req) {
        const { username, password } = credentials;

        const user = await User.findOne({ email: username }).exec();

        if (user) {
          console.log("user", user);
          await user.comparePassword(password, function (err, isMatch) {
            console.log("comparePassword err, isMatch", err, isMatch);
            if (err) throw err;
            if (isMatch) {
              console.log("IS MATCH!");
              return Promise.resolve(user);
            }
          });
        } else {
          return Promise.reject(null);
        }
      },
    }),
  ],
  secret: process.env.NEXTAUTH_SECRET,
  pages: {
    signIn: "/auth/signin",
    signOut: "/auth/signout",
    error: "/auth/error", // Error code passed in query string as ?error=
    verifyRequest: "/auth/verify-request", // (used for check email message)
    newUser: "/auth/new-user", // New users will be directed here on first sign in (leave the property out if not of interest)
  },
};

export default NextAuth(authOptions);

前端调用代码 #

<button
  type="submit"
  className="btn btn-primary w-100 mt-4"
  onClick={() =>
    signIn("credentials", {
      redirect: false,
      username: state.username,
      password: state.password,
      callbackUrl: "/",
    }).then(({ ok, error }) => {
      if (ok) {
         alert("OK");
      } else {
         console.log(error);
         alert("NOT OK");
      }
    })
    }
   >
   Sign in
 </button>

错误原因 #

核心问题在于authorize函数中使用了回调风格的comparePassword方法，而await关键字无法作用于普通回调函数：

1. await user.comparePassword(...)不会等待回调执行完成，因为comparePassword没有返回Promise，await会直接跳过，导致authorize函数走到末尾时无返回值（默认返回undefined）。
2. 回调内部的return Promise.resolve(user)只是回调自身的返回值，不会成为authorize函数的返回值，NextAuth无法识别该结果，因此判定认证失败。
3. 错误处理不规范，Promise.reject(null)无法传递有效错误信息，前端无法获取具体失败原因。

修正方案 #

将回调风格的comparePassword封装为Promise，让await能够正确等待密码校验完成，同时规范返回值和错误抛出：

修正后的authorize函数 #

async authorize(credentials, req) {
  const { username, password } = credentials;

  // 查找用户
  const user = await User.findOne({ email: username }).exec();
  if (!user) {
    throw new Error("用户不存在");
  }

  // 将回调式comparePassword转为Promise
  const isMatch = await new Promise((resolve, reject) => {
    user.comparePassword(password, (err, matchResult) => {
      if (err) reject(err);
      resolve(matchResult);
    });
  });

  // 校验密码
  if (!isMatch) {
    throw new Error("密码错误");
  }

  // 返回符合NextAuth要求的用户对象（需包含id、email等核心字段）
  return {
    id: user._id.toString(),
    email: user.email,
    name: user.name || user.email.split('@')[0]
  };
}

关键优化点 #

1. Promise封装回调：通过new Promise将comparePassword的回调逻辑转为Promise风格，确保await能等待校验完成。
2. 明确返回值：直接返回用户对象（需包含NextAuth所需的id、email等字段），无需额外用Promise.resolve包装。
3. 规范错误抛出：使用throw new Error(...)抛出具体错误信息，前端调用时能在error参数中获取对应的提示。
4. 提前返回/抛出：在用户不存在或密码错误时直接抛出错误，避免冗余嵌套逻辑。

前端处理优化 #

前端可根据抛出的错误信息给出更友好的提示：

signIn("credentials", {
  redirect: false,
  username: state.username,
  password: state.password,
  callbackUrl: "/",
}).then(({ ok, error }) => {
  if (ok) {
    alert("登录成功");
    // 可在此处跳转或更新状态
  } else {
    console.log(error);
    alert(`登录失败：${error}`); // 显示具体错误信息
  }
})

内容的提问来源于stack exchange，提问作者rsilva