Next.js项目中NextAuth无法获取Session，后端接口鉴权失败求助

问题分析 #

你尝试的两种获取Session的方式存在核心问题：

• 从req.body解构session完全错误：NextAuth的Session绝不会通过请求体传递，这种方式从逻辑上就不成立。
• 调用getSession({req})失败，大概率是因为NextAuth核心配置缺失、API路由中导入路径错误或者前端请求未正确携带认证Cookie。

解决方案步骤 #

1. 确保NextAuth核心配置完整

首先检查你的pages/api/auth/[...nextauth].js（App Router下为app/api/auth/[...nextauth]/route.js）配置，重点确认以下关键项：

// pages/api/auth/[...nextauth].js
import NextAuth from "next-auth";
import CredentialsProvider from "next-auth/providers/credentials";
import Users from "../../models/Users"; // 你的用户模型路径

export const authOptions = {
  secret: process.env.NEXTAUTH_SECRET, // 必须设置，从环境变量读取
  session: {
    strategy: "jwt", // 可选"database"，根据你的存储方案选择
  },
  providers: [
    CredentialsProvider({
      async authorize(credentials) {
        // 这里实现你的用户认证逻辑，比如验证用户名密码
        const user = await Users.findOne({ where: { email: credentials.email } });
        if (user && /* 密码验证逻辑 */) {
          return { id: user.id, email: user.email };
        }
        return null;
      },
    }),
  ],
};

export default NextAuth(authOptions);

注意：NEXTAUTH_SECRET必须在环境变量中配置，否则Session无法正常加密解密。

2. 在API路由中正确使用getSession

NextAuth v4+ 在API路由中需要从next-auth/server导入getSession（而非客户端用的next-auth/react），修正你的接口代码：

import { getSession } from "next-auth/server";
import { Op } from "sequelize";
import Offers from "../../../models/Offers"; // 调整为你的模型路径
import Users from "../../../models/Users";

Offers.belongsTo(Users, { as: 'User', foreignKey: 'user_id' });

export default async function handler(req, res) {
  // 限制请求方法为POST
  if (req.method !== "POST") {
    return res.status(405).json({ message: "Method Not Allowed" });
  }

  try {
    const session = await getSession({ req });
    // 无有效Session直接返回401
    if (!session) {
      return res.status(401).json({
        status: "error",
        title: 'Unauthorized',
        message: 'Unauthorized'
      });
    }

    const { limit, page, sortColumn, sortType, search } = req.body;
    // 优化：用count替代findAll获取总数，提升性能
    const total = await Offers.count({
      where: {
        [Op.or]: [
          { offers_no: { [Op.substring]: search } },
          { agreement_date: { [Op.substring]: search } },
          { routes: { [Op.substring]: search } },
          { type_of_the_transport: { [Op.substring]: search } },
        ]
      }
    });

    const offersList = await Offers.findAll({
      limit: parseInt(limit),
      offset: (parseInt(page) - 1) * parseInt(limit),
      order: [[sortColumn, sortType]],
      where: {
        [Op.or]: [
          { offers_no: { [Op.substring]: search } },
          { agreement_date: { [Op.substring]: search } },
          { routes: { [Op.substring]: search } },
          { type_of_the_transport: { [Op.substring]: search } },
        ]
      },
      include: [{ model: Users, as: 'User' }]
    });

    res.json({ total, data: offersList });
  } catch (error) {
    console.error("接口异常:", error);
    res.status(500).json({ message: "Internal Server Error" });
  }
}

如果使用App Router，API路由需放在app/api/logistic/offers/get-offers/route.js，并导出POST函数而非默认handler。

3. 前端请求必须携带认证Cookie

前端发起请求时，必须配置携带Cookie的参数，否则浏览器不会传递Session信息：

// Fetch示例
const fetchOffers = async (params) => {
  const res = await fetch('/api/logistic/offers/get-offers', {
    method: 'POST',
    credentials: 'include', // 关键：携带Session Cookie
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify(params)
  });
  return res.json();
};

// Axios示例
axios.post('/api/logistic/offers/get-offers', params, { withCredentials: true });

4. 额外排查点

• 打开浏览器DevTools的Application标签，确认存在next-auth.session-token或__Secure-next-auth.session-token Cookie。
• 检查API路由是否篡改了请求headers，这会导致NextAuth无法解析Session。
• 如果使用JWT策略，确认authOptions中的jwt配置无错误（无需自定义可忽略）。

内容的提问来源于stack exchange，提问作者Melike Kozan