使用next-auth的Twitter Provider时access_token和refresh_token为undefined如何解决

问题产生原因 #

1. 该问题由NextAuth v4版本的破坏性变更导致：你之前使用的v3版本会自动将Twitter OAuth 1.0a返回的凭证字段映射为access_token，但v4版本取消了这个自动映射逻辑。
2. Twitter采用OAuth 1.0a授权协议，本身不存在refresh_token机制，访问令牌默认长期有效，无需刷新，所以返回字段里根本没有refresh_token这个值。
3. NextAuth v4的Twitter Provider返回的account对象中，有效凭证字段为oauth_token（用户访问令牌）和oauth_token_secret（用户访问令牌密钥），而非你代码里取的access_token、refresh_token。

解决方法 #

步骤1：修改JWT回调的字段取值逻辑 #

将你原有JWT回调的字段映射替换为适配v4的版本，示例代码如下：

callbacks: {
  async jwt({ token, account, user }) {
    // 仅当登录时account存在，且是Twitter授权时才赋值
    if (account && account.provider === "twitter") {
      token.twitter = {
        accessToken: account.oauth_token,
        accessTokenSecret: account.oauth_token_secret
      }
      console.log(token.twitter)
    }
    return token
  },
  // 如果需要在前端页面的session对象中获取Twitter凭证，额外添加session回调透传字段
  async session({ session, token }) {
    session.twitter = token.twitter
    return session
  }
},

步骤2：校验Twitter提供商配置 #

确认你在NextAuth的providers配置项中，正确填入了Twitter Developer后台生成的clientId（对应API Key）和clientSecret（对应API Key Secret），且申请的接口权限匹配你后续调用Twitter API的需求。

步骤3：API调用适配 #

后续调用Twitter API v2时，直接使用存储的accessToken、accessTokenSecret配合你的应用API Key、API Key Secret做OAuth 1.0a签名即可，无需实现刷新令牌逻辑。

内容的提问来源于stack exchange，提问作者deadcoder0904