混合认证系统中密码重置逻辑一致性问题咨询

你的核心问题是系统未区分用户的认证来源，导致依赖Facebook/Google等第三方平台登录的用户，能通过密码重置流程生成本地密码并以本地账号方式登录，破坏了OAuth认证的设计逻辑。以下是几种实用的解决方案，你可以根据业务需求选择：

方案1：区分用户认证类型，拦截OAuth用户的密码重置请求 #

• 在用户数据表中新增auth_source字段（比如枚举值：local、facebook、google），标记用户的初始认证方式
• 后端处理密码重置请求时，先校验用户的auth_source：如果不是local，直接返回错误提示，比如「您的账号通过第三方平台认证，请使用对应平台登录」
• 前端配合隐藏入口：在OAuth用户的个人中心、登录页面等位置，不显示「忘记密码」「修改密码」的操作按钮，从源头避免用户触发矛盾流程

方案2：支持OAuth用户主动绑定本地密码（推荐） #

• 不阻止密码重置，而是调整流程逻辑：当OAuth用户发起密码重置时，若该用户未设置过本地密码，将流程转为「设置本地密码」而非「重置密码」
• 在用户首次通过第三方登录后，可主动引导用户设置本地密码，作为备用登录方式（比如提示「为了在第三方平台不可用时仍能登录，建议设置本地密码」）
• 这种方式既保留了OAuth快速登录的优势，又给用户提供了多一种登录选择，逻辑通顺——密码是用户主动设置的，而非意外生成

方案3：强制所有用户设置本地密码（不推荐） #

• 无论用户通过哪种方式注册/登录，首次进入系统后都必须完成本地密码设置
• 缺点是完全违背了OAuth「无需输入密码快速登录」的设计初衷，增加了用户操作步骤，可能导致用户流失，仅适合业务强制要求所有用户有本地凭证的场景

内容的提问来源于stack exchange，提问作者Dmitry