Nuxt-auth登录后服务端无法创建会话，session始终为null问题求助

问题描述 #

我在Nuxt项目里集成了nuxt-auth，登录流程看着完全正常——能看到Google登录按钮，登录后也能显示我的名字，但在服务端通过getServerSession获取会话时，一直返回null。

服务端控制台输出如下：

session: null
cookie: undefined
ALL HEADERS: { host: 'localhost' }

但浏览器的网络请求里明明带着包含token的Cookie，实在搞不懂为什么客户端登录状态正常，服务端却拿不到会话。下面是我的关键代码：

服务端路由示例（server/api/session.get.ts）

import { getServerSession } from '#auth'
import { getRequestHeaders } from 'h3'

export default defineEventHandler(async (event) => {
  const session = await getServerSession(event)
  console.log(`session: ${session}`)
  console.log('cookie:', getRequestHeaders(event).cookie)
  console.log('ALL HEADERS:', getRequestHeaders(event))
  
  // 其他业务逻辑...
})

Nuxt Auth配置文件（server/api/auth/[...].ts）

import GoogleProvider from "next-auth/providers/google"
import { NuxtAuthHandler } from '#auth'
import type { GoogleProfile } from 'next-auth/providers/google'

const providers: any[] = []
const googleClientId: string | undefined = process.env['GOOGLE_CLIENT_ID']
const googleClientSecret: string | undefined = process.env['GOOGLE_CLIENT_SECRET']

if(typeof googleClientId === 'string' && typeof googleClientSecret === 'string') {
  // @ts-expect-error Use .default here for it to work during SSR.
  const googleProvider = GoogleProvider.default({
    clientId: googleClientId,
    clientSecret: googleClientSecret,
    profile(profile: GoogleProfile) {
      return {
        id: profile.sub,
        name: profile.name,
        email: profile.email,
        image: profile.picture,
      }
    },
  })
  providers.push(googleProvider)
}

export default NuxtAuthHandler({
  secret: useRuntimeConfig().authSecret,
  providers
})

可能的原因及解决方案 #

1. 开发环境Cookie的Secure属性冲突

这是本地开发最常见的问题：默认情况下nuxt-auth的Session Cookie会设置Secure: true，但localhost用的是HTTP协议，浏览器会拒绝把带Secure属性的Cookie发送到HTTP地址，导致服务端完全收不到Cookie，自然解析不出Session。

解决方法：在Auth配置中根据环境动态调整Cookie规则：

export default NuxtAuthHandler({
  secret: useRuntimeConfig().authSecret,
  providers,
  session: {
    strategy: 'jwt', // 保持默认JWT策略即可
  },
  cookies: {
    sessionToken: {
      name: process.env.NODE_ENV === 'production' 
        ? '__Secure-next-auth.session-token' 
        : 'next-auth.session-token',
      options: {
        httpOnly: true,
        sameSite: 'lax',
        path: '/',
        secure: process.env.NODE_ENV === 'production', // 开发环境设为false
        domain: process.env.NODE_ENV === 'production' ? '.yourdomain.com' : undefined, // 本地无需设置domain
      },
    },
  },
})

2. authSecret配置错误或未正确加载

authSecret是加密/解密Session Token的核心密钥，如果服务端无法正确获取这个值，或者前后端值不一致，服务端就解析不了Cookie里的Token，直接返回null。

解决方法：

• 在nuxt.config.ts里把authSecret配置到服务端专属的runtimeConfig区域：

// nuxt.config.ts
export default defineNuxtConfig({
  modules: ['@sidebase/nuxt-auth'], // 确认已添加nuxt-auth模块
  runtimeConfig: {
    authSecret: process.env.AUTH_SECRET, // 仅服务端可访问
    public: {
      // 客户端公开配置（如果有）
    },
  },
})

• 在项目根目录的.env文件中生成并设置有效密钥：

# 生成32位随机十六进制密钥
openssl rand -hex 32
# 把生成的字符串粘贴到.env里
AUTH_SECRET=你的随机密钥

• 重启开发服务器，确保环境变量正确加载。

3. Google Provider导入方式问题

你代码里用了GoogleProvider.default并加了@ts-expect-error，这可能导致Provider初始化异常。尝试直接导入使用：

// 替换原导入和Provider初始化代码
import { GoogleProvider } from 'next-auth/providers/google'

// ...

if(typeof googleClientId === 'string' && typeof googleClientSecret === 'string') {
  const googleProvider = GoogleProvider({
    clientId: googleClientId,
    clientSecret: googleClientSecret,
    profile(profile: GoogleProfile) {
      return {
        id: profile.sub,
        name: profile.name,
        email: profile.email,
        image: profile.picture,
      }
    },
  })
  providers.push(googleProvider)
}

4. 旧Cookie缓存干扰

浏览器里可能残留之前登录的无效Cookie，导致新的Session Token无法正常传递。

解决方法：

• 打开浏览器开发者工具 → Application → Cookies → 清除localhost下所有和next-auth相关的Cookie。
• 重新登录后再测试服务端是否能获取到Session。

5. 确认getServerSession的调用上下文

要确保你是在服务端路由（server/目录下的文件）中调用getServerSession，这个API只能在服务端上下文使用，不能直接在客户端组件里调用。

验证步骤 #

1. 应用上述修改后重启开发服务器。
2. 清除浏览器Cookie，重新完成Google登录流程。
3. 访问服务端路由，查看控制台输出：
   • 如果cookie字段有值，说明Cookie已正常传递。
   • 如果session不再为null，则问题解决。

如果问题还存在，可以在服务端打印useRuntimeConfig().authSecret，确认服务端能正确获取到该值；也可以检查浏览器Network面板中请求的Cookie是否包含next-auth.session-token（开发环境下）。

内容来源于stack exchange