HTTPS环境下Next.js中getServerSideProps调用next-auth的getSession()失效如何解决

核心原因 #

HTTPS环境下NextAuth会默认生成带__Secure、__Host前缀的安全Cookie，仅能在HTTPS协议下传输。如果你的Next.js服务运行在反向代理（Nginx、Cloudflare、负载均衡等）后面，服务本身接收的是HTTP请求，NextAuth会误判当前为HTTP环境，尝试读取不带前缀的Cookie，导致匹配失败拿不到会话。

按顺序排查以下配置： #

1. 校验NEXTAUTH_URL配置
   .env文件中的NEXTAUTH_URL必须和你实际访问的HTTPS域名完全一致，示例：

# 错误写法
NEXTAUTH_URL=http://your-domain.com
# 正确写法
NEXTAUTH_URL=https://your-domain.com

2. 配置Next.js信任反向代理
   在next.config.js中添加以下配置，让Next.js信任X-Forwarded相关的请求头，正确识别当前的访问协议：

module.exports = {
  // 其他现有配置
  serverRuntimeConfig: {
    trustProxy: true,
  },
}

如果是Next.js 12+版本，也可以直接在启动命令中添加参数：
next start --trust-proxy

3. 反向代理添加请求头配置
   如果你用Nginx做反向代理，需要在站点配置的location块中添加以下头信息透传配置：

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Host $host;
proxy_set_header X-Forwarded-Port $server_port;

如果用其他反向代理服务（Cloudflare、云服务商负载均衡等），也要确保开启X-Forwarded-Proto头的透传，值设置为https。

4. （可选）强制开启安全Cookie
   如果以上配置都完成还是失效，可以在NextAuth的配置文件pages/api/auth/[...nextauth].js中手动强制开启安全Cookie，指定HTTPS环境下的Cookie规则：

export default NextAuth({
  // 其他现有配置，比如providers、secret等
  cookies: {
    sessionToken: {
      name: process.env.NODE_ENV === "production" ? "__Secure-next-auth.session-token" : "next-auth.session-token",
      options: {
        httpOnly: true,
        sameSite: "lax",
        path: "/",
        secure: process.env.NODE_ENV === "production",
      },
    },
    csrfToken: {
      name: process.env.NODE_ENV === "production" ? "__Host-next-auth.csrf-token" : "next-auth.csrf-token",
      options: {
        httpOnly: true,
        sameSite: "lax",
        path: "/",
        secure: process.env.NODE_ENV === "production",
      },
    },
    callbackUrl: {
      name: process.env.NODE_ENV === "production" ? "__Secure-next-auth.callback-url" : "next-auth.callback-url",
      options: {
        httpOnly: true,
        sameSite: "lax",
        path: "/",
        secure: process.env.NODE_ENV === "production",
      },
    },
  },
})

注意必须配置NEXTAUTH_SECRET环境变量，否则自定义Cookie配置不会生效。

配置完成后重启Next.js服务，清除浏览器现有Cookie后重新登录测试即可，getServerSideProps中调用getSession就能正常拿到会话数据，不影响你后续用prisma查询数据库的逻辑。

内容的提问来源于stack exchange，提问作者scxsk0992