文章

2025年9月15日技术分享

NextAuth中的认证(Authentication)和授权(Authorization)

授权的核心目的是根据用户身份和请求内容，验证用户是否有权执行某个操作。无论是简单的角色管理还是更细粒度的权限控制，最终的工作都是匹配用户权限与请求。授权通常分为几个关键步骤，具体操作如下：
1. 用户认证 (Authentication)
认证后，用户信息（如角色、部门）将嵌入到 Session 或 JWT 中。
2. 请求到达
3. 权限匹配 (Authorization)
3.1 基于角色的访问控制 (RBAC)
3.2 基于属性的访问控制 (ABAC)
3.3 基于请求内容的动态授权
4. 中间件统一授权拦截 (推荐)
5. 完整授权模型（RBAC + 权限表）
5.1 数据库设计
5.2 角色权限验证
总结

授权的核心目的是根据用户身份和请求内容，验证用户是否有权执行某个操作。无论是简单的角色管理还是更细粒度的权限控制，最终的工作都是匹配用户权限与请求。授权通常分为几个关键步骤，具体操作如下：#

1. 用户认证 (Authentication)#

通过 NextAuth 等工具完成用户认证，用户登录后，身份信息（如角色、权限等）通常会存储在 Session 或 JWT 中。

在 NextAuth 中，使用 callbacks 可以在用户登录时注入角色信息：

// [...nextauth].ts
import NextAuth from "next-auth";
import CredentialsProvider from "next-auth/providers/credentials";

export default NextAuth({
  providers: [
    CredentialsProvider({
      async authorize(credentials) {
        // 假设这里从数据库获取用户信息
        const user = { id: "1", name: "Alice", role: "admin", department: "engineering" };
        return user ?? null;
      },
    }),
  ],
  callbacks: {
    async jwt({ token, user }) {
      if (user) {
        token.role = user.role;
        token.department = user.department;
      }
      return token;
    },
    async session({ session, token }) {
      if (token?.role) session.user.role = token.role;
      if (token?.department) session.user.department = token.department;
      return session;
    },
  },
});

认证后，用户信息（如角色、部门）将嵌入到 Session 或 JWT 中。#

2. 请求到达#

当用户发起请求时，系统会根据请求信息（如 API 路径、请求方法等）以及存储在 session 或 token 中的用户信息进行权限检查。

在前端，通过 useSession 或 getSession 获取用户角色和权限信息，判断是否显示特定内容：

"use client";
import { useSession } from "next-auth/react";

export default function AdminPage() {
  const { data: session } = useSession();

  if (!session) return <p>请先登录</p>;
  if (session.user.role !== "admin") return <p>无权限</p>;

  return <p>欢迎进入后台</p>;
}

在 后端 API，通过 getServerSession 或 getToken 获取用户信息，进行授权验证：

// pages/api/admin.ts
import { getServerSession } from "next-auth";
import { authOptions } from "./auth/[...nextauth]";

export default async function handler(req, res) {
  const session = await getServerSession(req, res, authOptions);

  if (!session || session.user.role !== "admin") {
    return res.status(403).json({ message: "Forbidden" });
  }

  res.json({ secret: "This is admin only" });
}

3. 权限匹配 (Authorization)#

授权验证的目标是确保用户有权限执行某个操作或访问某个资源。可以使用 角色 (RBAC) 或 属性 (ABAC) 等方式。

3.1 基于角色的访问控制 (RBAC)#

简单的角色管理，通常只依据用户的角色来判断其是否有权限：

例子：
- admin 角色：可以访问所有内容。
- user 角色：只能访问普通用户内容。

// API 请求检查用户角色
if (session?.user?.role === "admin") {
  // 允许访问
} else {
  // 拒绝访问
}

3.2 基于属性的访问控制 (ABAC)#

更细粒度的权限控制，可以根据用户的属性（如组织、部门、特定标签等）来限制访问。

例子：
- 只有 engineering 部门的员工可以访问某些数据。

// 检查用户的属性
if (session?.user?.department === "engineering") {
  // 允许访问
} else {
  // 拒绝访问
}

3.3 基于请求内容的动态授权#

基于请求的路径和 操作类型 判断用户的权限：

例子：
- 只有 admin 能执行 POST /api/users 创建用户，普通用户只能执行 GET 请求查看自己的信息。

// 动态检查请求路径和方法
if (req.method === "POST" && session?.user?.role === "admin") {
  // 允许执行创建操作
} else {
  // 拒绝访问
}

4. 中间件统一授权拦截 (推荐)#

可以在 middleware.ts 中统一处理权限验证，避免在每个 API 路由或页面中重复检查。

// middleware.ts
import { withAuth } from "next-auth/middleware";

export default withAuth(
  function middleware(req) {},
  {
    callbacks: {
      authorized: ({ token }) => token?.role === "admin", // 只允许 admin 角色
    },
  }
);

export const config = {
  matcher: ["/admin/:path*"], // 只匹配 /admin 路径
};

5. 完整授权模型（RBAC + 权限表）#

在权限系统较为复杂的应用中，可以创建 权限表，通过数据库管理角色和权限。每个角色关联多个权限，权限可以是对特定 API 或资源的访问操作（如查看、编辑、删除）。

5.1 数据库设计#

用户表：存储用户基本信息。
角色表：存储角色信息。
权限表：存储不同操作权限。
用户-角色关系表：关联用户与角色。
角色-权限关系表：关联角色与权限。

5.2 角色权限验证#

通过查数据库动态判断用户是否拥有执行特定操作的权限。

// 假设数据库中存有角色与权限的关系
if (userHasPermission(session?.user?.id, "create-user")) {
  // 允许执行
} else {
  // 拒绝访问
}

总结#

认证：通过 NextAuth 完成用户身份验证，存储用户角色、属性等信息到 session 或 JWT。
授权：在每个请求中，基于用户角色或属性（ABAC/RBAC），匹配请求路径和操作，决定是否允许访问。
中间件：可以在 middleware.ts 中统一进行授权校验，避免重复代码。
复杂授权：可以使用数据库存储复杂的角色和权限关系，动态判断用户权限。通过这些方式，你可以灵活控制不同用户对不同资源和操作的访问权限，保证系统的安全性和可维护性。

授权的核心目的是根据用户身份和请求内容，验证用户是否有权执行某个操作。无论是简单的角色管理还是更细粒度的权限控制，最终的工作都是 匹配用户权限与请求。授权通常分为几个关键步骤，具体操作如下：#