NextAuth仅在Firebase Hosting生产环境出现OAuthCallback错误求助

问题根源 #

这个报错确实和Firebase Hosting的配置直接相关。Firebase Hosting在代理请求到Cloud Run时，若重写规则、缓存策略或Cookie传递配置不当，会破坏NextAuth OAuth流程中关键的state参数（用于防CSRF验证），导致回调时验证失败。

具体解决步骤 #

1. 修正Firebase Hosting重写规则与缓存策略 #

编辑项目根目录的firebase.json，确保/api/auth/**路径的请求不被缓存，且正确代理到Cloud Run：

{
  "hosting": {
    "rewrites": [
      {
        "source": "/api/auth/**",
        "run": {
          "serviceId": "你的Cloud Run服务ID",
          "region": "你的服务部署区域"
        },
        "headers": {
          "Cache-Control": "no-cache, no-store, must-revalidate"
        }
      },
      {
        "source": "**",
        "run": {
          "serviceId": "你的Cloud Run服务ID",
          "region": "你的服务部署区域"
        }
      }
    ]
  }
}

关键说明：/api/auth/**是NextAuth的核心路径，必须禁止缓存——OAuth回调请求是一次性的，缓存会导致state参数失效或丢失。

2. 确保NEXTAUTH_URL配置正确 #

• 环境变量NEXTAUTH_URL必须设置为Firebase Hosting绑定的完整HTTPS域名（例如https://your-custom-domain.com），而非Cloud Run的默认服务URL。
• 同时确认NEXTAUTH_SECRET在本地和部署环境保持一致（用于加密state参数，不一致会导致验证失败）。

3. 更新谷歌OAuth客户端的重定向URI #

在谷歌云控制台的OAuth 2.0客户端ID设置中，添加Firebase Hosting域名的回调URI：
https://your-custom-domain.com/api/auth/callback/google
注意：删除不必要的Cloud Run URI，避免混淆。

4. 配置Cookie传递规则 #

在firebase.json中添加Cookie相关的Header配置，确保跨域代理时Cookie能正确传递：

{
  "hosting": {
    "headers": [
      {
        "source": "/api/auth/**",
        "headers": [
          {
            "key": "Set-Cookie",
            "value": "SameSite=None; Secure"
          }
        ]
      }
    ],
    // 其他重写配置...
  }
}

关键说明：Firebase Hosting是HTTPS环境，SameSite=None; Secure确保Cookie能在跨域代理场景下正常传递，避免state参数对应的Cookie丢失。

5. 验证Cloud Run的CORS配置（若需） #

如果Cloud Run服务有自定义CORS规则，需允许Firebase Hosting域名的跨域请求并支持Credentials：

在Next.js项目的next.config.js中添加：

module.exports = {
  async headers() {
    return [
      {
        source: "/api/auth/:path*",
        headers: [
          { key: "Access-Control-Allow-Credentials", value: "true" },
          { key: "Access-Control-Allow-Origin", value: "https://your-custom-domain.com" },
          { key: "Access-Control-Allow-Methods", value: "GET,OPTIONS,PATCH,DELETE,POST,PUT" },
          { key: "Access-Control-Allow-Headers", value: "X-CSRF-Token, X-Requested-With, Accept, Accept-Version, Content-Length, Content-MD5, Content-Type, Date, X-Api-Version" },
        ],
      },
    ];
  },
};

验证步骤 #

修改配置后，重新部署Firebase Hosting和Cloud Run：

1. 执行firebase deploy --only hosting
2. 重新部署Cloud Run服务
3. 访问Firebase Hosting域名测试登录流程，查看Cloud Run日志是否仍有报错

内容的提问来源于stack exchange，提问作者ATRIIX -_-