我认为，当您将JWT添加到session时，您有一个非常合理的担忧，即在客户端暴露JWT。当您这样做时，您就否定了NextAuth在将其存储到客户端之前对您添加到JWT的详细信息进行加密的工作。
也许你可以从你的会话中删除访问令牌，依靠你的服务器来处理对MS Graph的认证请求？再次探索使用适配器也可能是很好的，因为NextAuth将在DB中存储任何自定义会话数据，而无需执行任何额外的工作。
我不知道你使用的是哪个版本的Next，所以我假设这个例子是Next@13。
首先更新您的NextAuth配置以从会话中删除访问令牌。还可以添加您选择的适配器。

import NextAuth, { NextAuthOptions } from 'next-auth';
import AzureADProvider from 'next-auth/providers/azure-ad';
// Use whichever adapter suits you. This is just an example.
import { DynamoDBAdapter } from '@auth/dynamodb-adapter'

const client = /* your db client */

export const authOptions: NextAuthOptions = {
  // Configure one or more authentication providers
  providers: [
    AzureADProvider({
      /* your config here */
    }),
  ],
  // Use whichever adapter suits you. This is just an example.
  adapter: DynamoDBAdapter(
    client
  ),
  callbacks: {
    async jwt({ token, user, account, profile }) {
      // Persist the OAuth access_token to the token right after signin
      console.log("JWT token", token);

      if (account) {
        token.accessToken = account.access_token;
      }

      return token;
    },
    async session({ session, token, user }) {
      if (token) {
        // Instead of returning the access token, maybe you could only return
        // the properties you want to see on the FE that aren't
        // considered sensitive data. e.g.
        session.user.roles = token.roles;
      }

      return session;
    },
  },
}

export default NextAuth(authOptions)

字符串
接下来，让我们创建一个查询MS Graph的API路由

// app/api/msgraph/route.ts

import { NextResponse } from 'next/server'
import { redirect } from 'next/navigation'
import { getToken } from 'next-auth/jwt'

export async function GET(req: Request) {
  const token = await getToken({ req })

  // If the user isn't signed in, redirect
  if (!token) return redirect('/signin')

  // Modify the fetch request to match your needs
  const res = await fetch('https://graph.microsoft.com/{version}/{resource}?{query-parameters}', {
    // Add the  access token to your request
    headers: { Authorization: `Bearer ${token?.accessToken}` },
  })

  const data = await res.json()
 
  return NextResponse.json({ data })
}

型
然后你可以像这样调用这个API端点：

import useSWR from 'swr'

export default function Component() {
  const { data, error, isLoading } = useSWR('/api/msgraph', fetcher)
  
  if (error) return <div>❌</div>
  if (isLoading) return <div>😵‍💫</div>
  
  console.log('ms graph response', data)
  return <div>{data.someProp}</div>
}

型
代码可能有bug，因为我只是在写这个，但我认为它会满足您的需要，并减轻您对在应用程序中共享访问令牌的担忧。
与您发布的代码相关，您可能需要考虑以更安全的方式获取以下详细信息：

clientId: process.env.AZURE_AD_CLIENT_ID!,
clientSecret: process.env.AZURE_AD_CLIENT_SECRET!,
tenantId: process.env.AZURE_AD_TENANT_ID!

型
如果您将它们存储为Lambda，Azure Function或EC2示例等的环境变量，则会出现安全问题。
希望这个答案有帮助！