禁用SSR时sidebase/nuxt-auth生产环境无法正常工作的原因？

核心原因 #

禁用SSR（ssr: false）时，getServerSession() 依赖从请求对象读取会话Cookie，但当前存在以下关键问题：

• Cookie配置未适配生产环境，导致无法被正确传递到服务端API
• getServerSession() 调用时未传入Nuxt请求上下文（event）
• 硬编码的baseURL和环境变量未匹配部署后的实际域名

具体修复步骤 #

1. 修正getServerSession()调用方式 #

在服务端API中调用getServerSession时，必须传入Nuxt的event对象，否则无法读取请求中的Cookie：

// 示例：server/api/xxx.ts
import { getServerSession } from "#auth";

export default defineEventHandler(async (event) => {
  // 必须传入event，让getServerSession从请求中读取Cookie
  const session = await getServerSession(event);
  if (!session) {
    return { status: 'unauthenticated' };
  }
  // 后续业务逻辑
});

2. 调整Cookie配置适配生产环境 #

修改server/api/auth/[...].ts中的Cookie配置，确保生产环境下Cookie能正常传递：

cookies: {
  sessionToken: {
    name: 'next-auth.session-token',
    options: {
      httpOnly: false, // 暂保留该设置，后续建议改为true修复安全漏洞
      sameSite: process.env.NODE_ENV === 'production' ? 'strict' : 'lax',
      path: '/',
      // 生产环境HTTPS需设为true，HTTP设为false
      secure: process.env.NODE_ENV === 'production' && process.env.AUTH_ORIGIN.startsWith('https://'),
      // 部署后替换为实际域名，如your-deploy-domain.com
      domain: process.env.NODE_ENV === 'production' ? 'your-deploy-domain.com' : undefined,
    }
  }
},

3. 适配部署域名的配置与环境变量 #

• 将nuxt.config.ts中的硬编码baseURL改为环境变量：

  // nuxt.config.ts
  auth: {
    // ...其他配置
    baseURL: `${process.env.NUXT_AUTH_URL}/api/auth`,
  },
  

• 部署时更新AUTH_ORIGIN为实际域名（如https://your-app.com），确保Cookie跨域/同域传递正常。

4. 验证Cookie传递状态 #

部署后通过浏览器开发者工具检查：

• 登录后是否正确生成next-auth.session-token Cookie
• 调用服务端API时，请求头中是否携带该Cookie

额外提醒 #

虽然当前优先解决功能问题，但后续建议将httpOnly设为true，避免XSS风险；同时确保AUTH_SECRET使用强随机值，不要硬编码到代码中。

内容的提问来源于stack exchange，提问作者Tal