NextAuth中unstable_getSession与getToken返回null问题排查

针对你遇到的前端useSession正常获取用户信息，但API路由调用unstable_getSession始终返回null的问题，可按以下步骤排查修复：

1. 替换为正式版的getServerSession #

NextAuth v4已将getServerSession从不稳定状态转正，旧的unstable_getServerSession可能存在兼容性问题。修改API路由代码：

// api/users/index.ts
import { getServerSession } from "next-auth/next" // 替换导入
import type { NextApiRequest, NextApiResponse } from "next"
import { authOptions } from "../auth/[...nextauth]"

export default async function handler(
    req: NextApiRequest,
    res: NextApiResponse
) {
    const { method } = req
    
    const session = await getServerSession(req, res, authOptions)
    console.log(session)

    if (!session) {
        return res.status(401).json({ message: "未授权访问" })
    }

    // 后续GET请求处理逻辑
    if (method === "GET") {
        // 这里编写获取用户列表的逻辑
        res.status(200).json({ data: [] })
    } else {
        res.setHeader("Allow", ["GET"])
        res.status(405).end(`Method ${method} Not Allowed`)
    }
}

2. 校验环境变量配置 #

• NEXTAUTH_SECRET：确保该变量在.env文件中正确设置，且API路由能读取到。可在API路由中临时添加console.log(process.env.NEXTAUTH_SECRET)验证值是否正确。生产环境需在部署平台（如Vercel）同步配置该变量。
• 开发环境添加NEXTAUTH_URL：在.env.local中添加NEXTAUTH_URL=http://localhost:3000（端口对应你的开发服务端口），NextAuth需要该值生成正确的Cookie路径与域名。

3. 检查AuthOptions导入路径 #

确认api/users/index.ts中authOptions的导入路径../auth/[...nextauth]与实际文件结构匹配。若[...nextauth].ts位于pages/api/auth/目录下，该路径是正确的，否则需调整路径。

4. 通过Debug日志排查 #

你的authOptions已开启debug模式（debug: process.env.NODE_ENV === "development"），启动开发服务后查看控制台日志：

• 若出现JWT error: invalid signature，说明NEXTAUTH_SECRET配置错误，需修正为与NextAuth初始化时一致的密钥。
• 若未检测到Cookie相关日志，检查前端请求是否携带了next-auth.session-token或__Secure-next-auth.session-token Cookie（可在浏览器开发者工具的Application标签查看）。

5. 可选：优化JWT与Session回调 #

确保authorize返回的用户对象仅包含必要字段（避免敏感信息如密码），且可序列化：

// [...nextauth].ts 中的authorize函数
async authorize(credentials: any) {
    const { email, password } = credentials
    const user = await Users.findOne({ email }).select("_id email name") // 只查询需要的字段
    if (!user) throw new Error("邮箱或密码错误")
    const isMatch = await bcrypt.compare(password, user.password as string)
    if (!isMatch) throw new Error("邮箱或密码错误")
    return user.toObject()
}

内容的提问来源于stack exchange，提问作者Hamza Chebbah