echo

SSE 默认事件名 + 反代后 req.url 不可信

症状

扫码登录在生产微信内置浏览器表现:二维码刷新正常、用户扫码后微信 toast 确认成功,前端 SSE 状态条永远 pending,从不切到 confirmed,也不重定向。本地 dev / 桌面 Chrome 全绿。

根因 1

前端用 eventSource.addEventListener('confirmed', ...) 监听命名事件。但 wx-gateway 那边 SSE 发出来的是 默认 message 事件(payload 里带 type 字段区分),根本没写 event: confirmed 这一行。命名 listener 永远收不到,自然永远 pending。

修法 1

统一改成 onmessage + payload 内部分发:e => JSON.parse(e.data).type === 'confirmed' && finalize()(be8bdb0)。

根因 2

修完命名事件,confirmed 收到了,可 finalize 后重定向到内网 IP。原因是 callback 用 new URL(path, req.url) 拼 absolute URL,反代后 Next 看到的 req.url 是 http://127.0.0.1:3795/...,不是外网域。

修法 2

改用 process.env.NEXTAUTH_URL 显式拼绝对 URL(496dedb),反代环境下 req.url 一律视为不可信。

// 拳 1 — 前端 SSE 监听:别用命名事件
- eventSource.addEventListener('confirmed', e => ...)
+ eventSource.onmessage = e => {
+   const m = JSON.parse(e.data)
+   if (m.type === 'confirmed') finalize(m)
+ }

// 拳 2 — 拼回调 URL:别信反代后的 req.url
- return NextResponse.redirect(new URL('/dashboard', req.url))
+ const base = process.env.NEXTAUTH_URL!
+ return NextResponse.redirect(new URL('/dashboard', base))