Auth.js(v5)会话过期前轮换JWT令牌，解决角色更新不生效问题

核心原因 #

在Auth.js的JWT会话策略下，服务器端jwt回调更新令牌后，客户端不会自动同步最新令牌——因为JWT是存储在客户端的无状态令牌，Auth.js默认不会主动推送更新。官方的刷新令牌轮换示例针对的是OAuth2流程中的刷新令牌（有单独的刷新令牌去换取新的访问令牌），和纯JWT会话机制逻辑完全不同。

修复步骤 #

1. 修正代码笔误 #

你的jwt回调里存在变量名错误：token.userDataExp应该是token.roleExpiryTime，否则过期判断逻辑会失效。修正后的代码片段：

if (token.roleExpiryTime < Date.now()) {
  console.log("user role in JWT is outdated:", new Date(token.roleExpiryTime))
  const dbUser = await fetchUserByIdFromDB(token.userId)
  console.log("returning refreshed token")
  return {
    ...token,
    role: dbUser.role,
    roleExpiryTime: Date.now() + JWT_REFRESH_RATE,
  }
} else {
  console.log("Token is still valid:", new Date(token.roleExpiryTime))
}

2. 配置Session回调同步最新角色 #

添加session回调，确保服务器端更新后的角色能同步到会话数据中，这样客户端调用auth()时可以获取到最新值：

callbacks: {
  // ...其他回调
  async session({ session, token }) {
    if (token) {
      session.user.role = token.role
      session.user.userId = token.userId
    }
    return session
  },
  // ...jwt回调
}

3. 客户端主动触发会话刷新 #

要让客户端拿到更新后的角色，需要在客户端定期或关键场景下调用auth()函数，触发会话同步：

• 定期刷新：在客户端组件中设置定时器，每隔4分钟（比5分钟的roleExpiryTime提前）调用auth()：

"use client"
import { auth } from "@/auth"
import { useEffect } from "react"

export function RoleRefresh() {
  useEffect(() => {
    const interval = setInterval(async () => {
      await auth()
    }, 1000 * 60 * 4) // 每4分钟刷新一次

    return () => clearInterval(interval)
  }, [])

  return null
}

在根布局中引入该组件，实现全局自动刷新。

• 关键场景刷新：比如进入权限敏感页面时，主动调用auth()获取最新角色：

"use client"
import { auth } from "@/auth"
import { useEffect, useState } from "react"

export function ProtectedPage() {
  const [userRole, setUserRole] = useState(null)

  useEffect(() => {
    const getLatestRole = async () => {
      const session = await auth()
      setUserRole(session?.user?.role)
    }
    getLatestRole()
  }, [])

  // 基于最新角色渲染页面内容
  return <div>当前角色：{userRole}</div>
}

4. 服务器端兜底校验（可选） #

为彻底解决安全问题，即使客户端缓存旧角色，在敏感读取操作（比如用户专属内容）时，建议在服务器端组件或API路由中直接从数据库校验角色，而非完全依赖JWT中的值：

// 服务器端组件示例
import { auth } from "@/auth"
import { fetchUserByIdFromDB } from "@/lib/db"

export default async function UserContent() {
  const session = await auth()
  if (!session) return <div>未登录</div>
  
  // 直接从数据库获取最新角色
  const dbUser = await fetchUserByIdFromDB(session.user.userId)
  if (dbUser.role !== "admin") return <div>无权限访问</div>

  return <div>管理员专属内容</div>
}

官方刷新令牌示例的工作逻辑 #

官方的刷新令牌轮换示例针对OAuth2认证流程：客户端会存储长期有效的刷新令牌和短期有效的访问令牌。当访问令牌过期时，Auth.js会自动用刷新令牌向认证服务器请求新的访问令牌，这个过程会自动将新令牌同步到客户端。而纯JWT会话策略没有刷新令牌，因此需要主动触发会话刷新来同步更新。

内容的提问来源于stack exchange，提问作者Ludmila Kurochkina