使用@auth0/nextjs-auth0获取的accessToken调用端点返回401未授权

1. 登录时未请求API所需权限（Scope） #

你当前的登录配置仅指定了audience，但未请求API要求的权限范围。Auth0控制台生成的测试token会包含你手动勾选的权限，而代码登录生成的token如果没指定scope，通常只包含openid、profile这类默认权限，不具备访问目标API的权限。

修改/[auth0].js的登录配置，添加对应权限：

import { handleAuth, handleLogin } from "@auth0/nextjs-auth0";

export default handleAuth({
  login: handleLogin({
    authorizationParams: {
      audience: process.env.AUDIENCE,
      scope: "openid profile email read:auth" // 替换为你的API实际需要的权限
    }
  })
});

2. getAccessToken需明确指定目标API的audience和scope #

默认调用getAccessToken可能返回的是适配Auth0管理API的token，而非针对你的业务API的有效token。需要在调用时明确指定参数，确保拿到正确的token：

修改API路由代码：

import { getAccessToken, withApiAuthRequired, getSession } from "@auth0/nextjs-auth0";

export default withApiAuthRequired(async function users(req, res) {
  try {
    const { accessToken } = await getAccessToken(req, res, {
      audience: process.env.AUDIENCE,
      scope: "read:auth" // 需与登录时指定的权限一致
    });
    const { user } = await getSession(req, res);
    console.log("with access token …", accessToken);
    const response = await fetch("http://localhost:7000/auth", {
      headers: {
        Authorization: `Bearer ${accessToken}`,
        "Content-Type": "application/json",
      },
      method: "GET",
    });

    // 补充响应处理逻辑
    const data = await response.json();
    res.status(response.status).json(data);
  } catch (error) {
    res.status(500).json({ error: error.message });
  }
});

3. 验证环境变量AUDIENCE的正确性 #

确保process.env.AUDIENCE的值和你在Auth0控制台中API的Identifier完全一致（包括大小写、无多余空格）。测试token的audience是匹配API的，若代码中的环境变量错误，生成的token受众不匹配，API验证时会直接返回401。

4. 调试token内容（可选） #

可以解码token查看具体字段，确认audience和scope是否符合要求：

import jwt from 'jsonwebtoken'; // 需先安装jsonwebtoken包

// 在获取accessToken后添加
console.log("解码后的token:", jwt.decode(accessToken));

查看输出中的aud（受众）和scope字段，确认是否与API要求一致。

内容的提问来源于stack exchange，提问作者Olusanya Michael