NextAuth 会话中 Access Token 的安全存储与最佳实践

// pages/api/auth/[...nextauth].ts (或 app/api/auth/[...nextauth]/route.ts)
import NextAuth, { NextAuthOptions } from "next-auth";
import CredentialsProvider from "next-auth/providers/credentials";
import axios from "axios";
import jwt_decode from "jwt-decode"; // 假设用于解析后端返回的令牌信息

// 定义 JWT 解码后的用户属性接口，根据您的后端 token 结构调整
interface JwtDecodedAttributes {
  userId: string;
  username: string;
  role: string;
  profilepicture?: string;
  iat: number;
  exp: number;
  email?: string;
  // ... 其他自定义属性
}

const BASE_URL = process.env.NEXT_PUBLIC_API_BASE_URL; // 确保已配置后端 API 基础 URL

export const authOptions: NextAuthOptions = {
  session: {
    strategy: "jwt", // 启用 JWT 会话策略
  },
  providers: [
    CredentialsProvider({
      type: "credentials",
      credentials: {
        username: { label: "Username", type: "text" },
        password: { label: "Password", type: "password" },
      },
      async authorize(credentials, req) {
        const { username, password } = credentials as {
          username: string;
          password: string;
        };

        if (!username || !password) {
          return null; // 用户名或密码为空，认证失败
        }

        try {
          // 调用后端登录 API 获取令牌
          const response = await axios.post(`${BASE_URL}/login`, { username, password });

          if (response?.data?.userToken) {
            const userToken = response.data.userToken;
            const userRefreshToken = response.data.userRefreshToken;

            // 解码 Access Token 以获取用户基本信息（如果后端直接返回用户信息则可能不需要）
            const decodedUser: JwtDecodedAttributes = jwt_decode(userToken);

            // 返回一个包含 Access Token 和 Refresh Token 的用户对象
            // 这个对象将作为 `jwt` 回调的 `user` 参数
            return {
              id: decodedUser.userId,
              name: decodedUser.username,
              role: decodedUser.role,
              profilepicture: decodedUser.profilepicture,
              email: decodedUser.email,
              accessToken: userToken,       // 存储 Access Token
              refreshToken: userRefreshToken, // 存储 Refresh Token
              // ... 其他从 decodedUser 或后端获取的用户信息
            };
          }
        } catch (error) {
          console.error("Login failed:", error);
          // 在生产环境中，可以根据错误类型进行更细致的处理
        }
        return null; // 登录失败
      },
    }),
  ],
  pages: {
    signIn: "/login", // 指定自定义登录页面的路径
  },
  callbacks: {
    // jwt 回调：在用户登录后，将 `authorize` 返回的用户对象合并到 JWT token 中
    async jwt({ token, user }) {
      if (user) {
        // user 包含了 authorize 返回的所有属性，包括 accessToken 和 refreshToken
        return { ...token, ...user };
      }
      return token;
    },
    // session 回调：将 JWT token 中的数据暴露给客户端的 `useSession` hook
    async session({ session, token }) {
      // 将 token 中的自定义数据（如 accessToken）赋值给 session.user
      // 这样客户端就可以通过 session.user.accessToken 访问
      session.user = {
        ...session.user