生产环境中NextAuth useSession返回session对象为null问题排查

核心问题排查与修复 #

1. 修正Secret配置错误 #

你的代码中使用了NEXT_PUBLIC_SECRET作为NextAuth的secret，但NEXT_PUBLIC_前缀的环境变量会被暴露给客户端，而NextAuth的secret是服务器端的私有密钥，必须使用未加NEXT_PUBLIC_前缀的NEXTAUTH_SECRET变量，否则会导致会话签名验证失败，生产环境无法正常获取session。

修改[...nextauth].ts中的secret配置：

secret: process.env.NEXTAUTH_SECRET, // 替换原有的NEXT_PUBLIC_SECRET

2. 修复Session回调的参数依赖问题 #

默认情况下NextAuth采用JWT会话策略，此时session回调中的user参数仅在首次登录时存在，后续请求中user参数为undefined。你需要通过jwt回调将用户ID存入token，再在session回调中从token中取出该值。

更新[...nextauth].ts的callbacks部分：

callbacks: {
  // 先通过jwt回调将用户ID存入token
  async jwt({ token, user }) {
    if (user) {
      token.userId = user.id;
    }
    return token;
  },
  async session({ session, token }) {
    if (session.user) {
      session.user.userId = token.userId as string;
    }
    return session;
  }
},

3. 确保生产环境NEXTAUTH_URL配置正确 #

生产环境的NEXTAUTH_URL必须是完整的、不带尾斜杠的域名（例如https://your-production-domain.com），且与谷歌控制台中设置的重定向URI完全一致（重定向URI格式为https://your-production-domain.com/api/auth/callback/google）。

4. 验证环境变量是否正确加载 #

生产环境的环境变量需要在部署平台（如Vercel、Netlify）的控制台中手动配置，不能依赖本地的.env文件。确认以下变量都已正确设置：

• GOOGLE_ID
• GOOGLE_SECRET
• NEXTAUTH_SECRET
• NEXTAUTH_URL

5. 检查SessionProvider是否正确包裹 #

确保你的应用根组件（通常是_app.tsx）已经用SessionProvider包裹，否则useSession无法获取到会话信息：

import { SessionProvider } from "next-auth/react"

export default function App({
  Component,
  pageProps: { session, ...pageProps },
}) {
  return (
    <SessionProvider session={session}>
      <Component {...pageProps} />
    </SessionProvider>
  )
}

6. 确认生产环境HTTPS配置 #

NextAuth需要HTTPS才能正常创建和维护会话（localhost开发环境除外），如果你的生产域名没有配置HTTPS，会导致会话无法持久化。

内容的提问来源于stack exchange，提问作者H.b