如何在NestJS后端通过Passport.js验证next-auth生成的JWT令牌？

场景合理性 #

• 该应用场景完全合理，属于前后端分离架构下身份验证的标准落地方案：
  • Next.js作为前端层负责用户登录态维护，next-auth本身原生支持生成标准JWT令牌，可作为独立身份凭证跨服务传递
  • 将JWT放在Authorization请求头中作为Bearer令牌传输，是OAuth2.0体系的标准做法，兼容性和安全性都经过生产环境验证
  • NestJS官方默认集成Passport.js作为身份校验中间件，整套技术栈搭配无冲突，目前大量生产级项目都在使用该架构模式。

Passport.js校验可行性 #

• Passport.js完全可以实现对next-auth生成JWT的校验，只需要做好两端的配置对齐即可，核心配置要求如下：
  1. 签名密钥统一：next-auth生成JWT时使用的secret，必须和NestJS中passport-jwt策略配置的secretOrKey完全一致。如果使用RSA非对称加密，后端配置对应公钥即可。
  2. 加密算法对齐：next-auth默认使用HS256算法加密JWT，需要确保NestJS的passport-jwt策略中algorithms参数和前端指定的算法一致，避免算法不匹配导致校验失败。
  3. 自定义payload适配：如果你在next-auth中自定义了JWT的payload字段，后端校验时可以直接在validate回调中拿到完整payload做额外权限校验，不需要做额外格式转换。

配置示例 #

Next.js next-auth 核心配置（[...nextauth].ts）

export default NextAuth({
  secret: process.env.NEXTAUTH_SECRET, // 该值需要和后端保持一致
  session: {
    strategy: "jwt"
  },
  jwt: {
    secret: process.env.NEXTAUTH_SECRET,
    algorithm: "HS256" // 无特殊需求默认用HS256即可
  },
  // 其余登录、回调等配置省略
})

NestJS Passport JWT策略核心配置

import { Injectable } from '@nestjs/common';
import { PassportStrategy } from '@nestjs/passport';
import { ExtractJwt, Strategy } from 'passport-jwt';

@Injectable()
export class JwtStrategy extends PassportStrategy(Strategy) {
  constructor() {
    super({
      // 从请求头的Authorization字段提取Bearer令牌
      jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
      ignoreExpiration: false, // 自动校验JWT过期时间
      secretOrKey: process.env.NEXTAUTH_SECRET, // 和前端next-auth secret完全一致
      algorithms: ['HS256'] // 和前端加密算法对齐
    });
  }

  async validate(payload: any) {
    // 可在此处添加自定义校验逻辑，比如校验用户状态、权限等
    return { userId: payload.sub, userName: payload.name };
  }
}

内容的提问来源于stack exchange，提问作者killjoy