Next.js与NextAuth：身份验证实践

天涯学馆

于 2024-10-05 21:09:41 发布

阅读量739

点赞数 12

分类专栏： Web大前端 # Javascript 文章标签： javascript 前端 Next.js

本文链接：https://blog.csdn.net/A1215383843/article/details/142719144

版权

Web大前端同时被 2 个专栏收录

135 篇文章 4 订阅

订阅专栏

Javascript

38 篇文章 0 订阅

订阅专栏

在现代Web应用开发中，实现用户身份验证是非常重要的一步。Next.js 是一个流行的React框架，提供了出色的性能和开发体验。NextAuth.js 则是一个专门为Next.js设计的身份验证解决方案，它简化了实现身份验证的过程，并且支持多种认证方式。

准备环境

首先，确保你有一个基本的Next.js项目。如果还没有，可以通过以下命令创建一个：

npx create-next-app@latest my-app
cd my-app

安装NextAuth.js

接着，你需要安装NextAuth.js。你可以安装稳定版本或者beta版本，根据你的需求选择：

npm install next-auth
# 或者安装beta版本
npm install next-auth@beta

配置NextAuth.js

NextAuth.js需要一些配置来设置身份验证服务。你可以在pages/api/auth/[...nextauth].ts创建一个API路由来配置NextAuth.js。

// pages/api/auth/[...nextauth].ts
import NextAuth from 'next-auth'
import Providers from 'next-auth/providers'

export default NextAuth({
  providers: [
    Providers.Email({
      server: process.env.EMAIL_SERVER,
      from: process.env.EMAIL_FROM,
    }),
    // 添加其他认证提供商，如Google, Facebook等
  ],
  database: process.env.DATABASE_URL,
  session: {
    jwt: true,
  },
  jwt: {
    secret: process.env.JWT_SECRET,
  },
  secret: process.env.SECRET,
})

在这个配置文件中，你需要设置认证提供商、数据库连接以及JWT密钥等信息。这些信息通常应该保存在环境变量中以保证安全性。

设置环境变量

编辑.env.local文件来设置你的环境变量：

DATABASE_URL=your_database_connection_string
EMAIL_SERVER=smtp://user:pass@smtp.example.com:587
EMAIL_FROM="Example" <no-reply@example.com>
JWT_SECRET=your_jwt_secret
SECRET=your_nextauth_secret

创建登录页面

创建一个登录页面，让用户可以输入他们的凭证。

// pages/login.tsx
import { signIn, signOut, useSession } from 'next-auth/react'

export default function Login() {
  const { data: session } = useSession()

  return (
    <>
      {!session ? (
        <button onClick={() => signIn('credentials', { callbackUrl: '/' })}>Sign in</button>
      ) : (
        <>
          Signed in as {session.user.email} <br />
          <button onClick={() => signOut()}>Sign out</button>
        </>
      )}
    </>
  )
}

保护路由

你可以使用useSession钩子来保护特定的页面，只有已登录的用户才能访问。

// pages/dashboard.tsx
import { useSession } from 'next-auth/react'

export default function Dashboard() {
  const { data: session } = useSession()

  if (!session) {
    return <div>You need to sign in first.</div>
  }

  return (
    <div>
      Welcome to your dashboard, {session.user.name}!
    </div>
  )
}

角色权限管理

如果你的应用需要基于角色的访问控制（RBAC），你可以在NextAuth配置中添加角色字段，并在应用逻辑中检查用户的角色。

// pages/api/auth/[...nextauth].ts
export default NextAuth({
  providers: [
    // ...
  ],
  callbacks: {
    async session({ session, user }) {
      session.user.role = user.role; // 假设你的数据库中有角色字段
      return session;
    },
  },
});

然后在你的应用中使用：

// pages/admin.tsx
import { useSession } from 'next-auth/react'

export default function AdminPage() {
  const { data: session } = useSession()

  if (!session || session.user.role !== 'admin') {
    return <div>You do not have permission to access this page.</div>
  }

  return (
    <div>
      Welcome to the admin panel.
    </div>
  )
}

多认证提供商

NextAuth.js 支持多种认证提供商，如 Google、Facebook、GitHub 等。你可以轻松地将它们集成到你的应用中。

添加认证提供商

在 pages/api/auth/[...nextauth].ts 文件中添加认证提供商：

// pages/api/auth/[...nextauth].ts
import NextAuth from 'next-auth'
import Providers from 'next-auth/providers'

export default NextAuth({
  providers: [
    Providers.Email({
      server: process.env.EMAIL_SERVER,
      from: process.env.EMAIL_FROM,
    }),
    Providers.Google({
      clientId: process.env.GOOGLE_CLIENT_ID,
      clientSecret: process.env.GOOGLE_CLIENT_SECRET,
    }),
    Providers.Facebook({
      clientId: process.env.FACEBOOK_CLIENT_ID,
      clientSecret: process.env.FACEBOOK_CLIENT_SECRET,
    }),
    Providers.GitHub({
      clientId: process.env.GITHUB_CLIENT_ID,
      clientSecret: process.env.GITHUB_CLIENT_SECRET,
    }),
  ],
  database: process.env.DATABASE_URL,
  session: {
    jwt: true,
  },
  jwt: {
    secret: process.env.JWT_SECRET,
  },
  secret: process.env.SECRET,
})

更新登录页面

更新登录页面以支持多种认证方式：

// pages/login.tsx
import { signIn, signOut, useSession } from 'next-auth/react'

export default function Login() {
  const { data: session } = useSession()

  return (
    <>
      {!session ? (
        <>
          <button onClick={() => signIn('credentials', { callbackUrl: '/' })}>Sign in with Credentials</button>
          <button onClick={() => signIn('google', { callbackUrl: '/' })}>Sign in with Google</button>
          <button onClick={() => signIn('facebook', { callbackUrl: '/' })}>Sign in with Facebook</button>
          <button onClick={() => signIn('github', { callbackUrl: '/' })}>Sign in with GitHub</button>
        </>
      ) : (
        <>
          Signed in as {session.user.email} <br />
          <button onClick={() => signOut()}>Sign out</button>
        </>
      )}
    </>
  )
}

密码管理和安全

密码管理是身份验证中的一个重要环节。NextAuth.js 提供了内置的安全机制，但你也可以进一步增强安全性。

密码哈希

确保在数据库中存储的是密码的哈希值而不是明文密码。你可以使用 bcrypt 或 argon2 等库来实现密码哈希。

// pages/api/auth/signin.ts
import bcrypt from 'bcryptjs'
import { NextApiRequest, NextApiResponse } from 'next'
import { getCsrfToken } from 'next-auth/react'
import { signIn } from 'next-auth/react'

export default async function signin(req: NextApiRequest, res: NextApiResponse) {
  try {
    const result = await signIn('credentials', {
      redirect: false,
      email: req.body.email,
      password: req.body.password,
    })

    if (result?.error) {
      return res.status(401).json({ error: result.error })
    }

    return res.json(result)
  } catch (error) {
    console.error(error)
    return res.status(500).json({ error: 'Internal server error' })
  }
}

export const config = {
  api: {
    bodyParser: {
      sizeLimit: '10mb',
    },
  },
}

密码重置

实现密码重置功能，确保密码重置链接具有时效性和唯一性。

// pages/api/auth/reset-password.ts
import { NextApiRequest, NextApiResponse } from 'next'
import { sendEmail } from './send-email'
import { prisma } from './prisma'

export default async function resetPassword(req: NextApiRequest, res: NextApiResponse) {
  try {
    const { email } = req.body
    const token = generateResetToken()
    await prisma.user.update({
      where: { email },
      data: { resetToken: token, resetTokenExpires: new Date(Date.now() + 3600000) }
    })

    await sendEmail(email, token)

    return res.json({ success: true })
  } catch (error) {
    console.error(error)
    return res.status(500).json({ error: 'Internal server error' })
  }
}

function generateResetToken() {
  return crypto.randomBytes(20).toString('hex')
}

会话管理

NextAuth.js 提供了丰富的会话管理功能，包括 JWT 和会话持久化。

JWT 会话

使用 JWT 会话来提高安全性：

// pages/api/auth/[...nextauth].ts
export default NextAuth({
  providers: [
    // ...
  ],
  session: {
    jwt: true,
  },
  jwt: {
    secret: process.env.JWT_SECRET,
  },
  secret: process.env.SECRET,
})

会话持久化

在客户端持久化会话，以便用户在关闭浏览器后仍然保持登录状态：

// pages/_app.tsx
import { SessionProvider } from 'next-auth/react'

function MyApp({ Component, pageProps: { session, ...pageProps } }) {
  return (
    <SessionProvider session={session}>
      <Component {...pageProps} />
    </SessionProvider>
  )
}

export default MyApp

角色和权限管理

在实际应用中，通常需要对不同角色的用户进行权限管理。

定义角色

在数据库中定义角色字段，并在NextAuth回调中设置角色：

// pages/api/auth/[...nextauth].ts
export default NextAuth({
  providers: [
    // ...
  ],
  callbacks: {
    async session({ session, user }) {
      session.user.role = user.role; // 假设你的数据库中有角色字段
      return session;
    },
  },
})

检查角色

在应用逻辑中检查用户的角色：

// pages/admin.tsx
import { useSession } from 'next-auth/react'

export default function AdminPage() {
  const { data: session } = useSession()

  if (!session || session.user.role !== 'admin') {
    return <div>You do not have permission to access this page.</div>
  }

  return (
    <div>
      Welcome to the admin panel.
    </div>
  )
}

自定义UI组件

你可以自定义登录和注册表单，使其符合你的设计风格。

自定义登录表单

创建一个自定义登录表单组件：

// components/LoginForm.tsx
import { useState } from 'react'
import { signIn } from 'next-auth/react'

export default function LoginForm() {
  const [email, setEmail] = useState('')
  const [password, setPassword] = useState('')

  const handleSubmit = async (e: React.FormEvent) => {
    e.preventDefault()
    await signIn('credentials', { email, password, redirect: false })
  }

  return (
    <form onSubmit={handleSubmit}>
      <label htmlFor="email">Email</label>
      <input type="email" id="email" value={email} onChange={(e) => setEmail(e.target.value)} />

      <label htmlFor="password">Password</label>
      <input type="password" id="password" value={password} onChange={(e) => setPassword(e.target.value)} />

      <button type="submit">Sign in</button>
    </form>
  )
}

在页面中使用自定义组件

在登录页面中使用自定义登录表单：

// pages/login.tsx
import { useSession } from 'next-auth/react'
import LoginForm from '../components/LoginForm'

export default function Login() {
  const { data: session } = useSession()

  if (session) {
    return <div>Signed in as {session.user.email}</div>
  }

  return (
    <div>
      <LoginForm />
    </div>
  )
}