Google注册后无法关联Azure AD B2C同邮箱用户的问题排查

核心问题是你的注册逻辑直接创建新的联邦身份用户，没有检查Azure AD B2C中是否已存在使用同一邮箱的用户，也没有将新的Google身份关联到现有账户。这和EmailVerified属性无关，Azure AD B2C不会自动通过邮箱关联不同登录类型的账户。

解决步骤 #

• 注册前查询现有用户：通过Graph API查询Azure AD B2C中所有邮箱匹配的用户（不限制登录类型）
• 关联身份到现有账户：如果找到用户，为其添加Google联邦身份
• 创建新账户（仅当无匹配时）：如果未找到用户，再执行原创建逻辑

代码调整示例 #

修改RegisterExternalUser方法，加入查询和关联逻辑：

public async Task<string> RegisterExternalUser(
    string email,
    string googleIssuerAssignedId, // 建议用Google的sub字段而非邮箱，避免邮箱变更问题
    CancellationToken cancellationToken
)
{
    // 步骤1：查询所有邮箱匹配的用户
    var existingUsers = await graphServiceClient.Users
        .GetAsync((requestConfiguration) =>
        {
            requestConfiguration.QueryParameters.Filter = $"mail eq '{email}' or otherMails/any(m: m eq '{email}')";
            requestConfiguration.QueryParameters.Select = new[] { "id", "identities" };
        }, cancellationToken);

    if (existingUsers?.Value?.Any() == true)
    {
        var existingUser = existingUsers.Value.First();
        // 检查是否已存在Google身份，避免重复添加
        var hasGoogleIdentity = existingUser.Identities?.Any(i => 
            i.SignInType == "federated" && i.Issuer == "google.com") ?? false;

        if (!hasGoogleIdentity)
        {
            // 步骤2：添加Google联邦身份到现有用户
            existingUser.Identities?.Add(new UserIdentity
            {
                SignInType = "federated",
                Issuer = "google.com",
                IssuerAssignedId = googleIssuerAssignedId // 建议用Google的sub（用户唯一ID）而非邮箱
            });

            await graphServiceClient.Users[existingUser.Id]
                .PatchAsync(existingUser, cancellationToken: cancellationToken);
        }
        return existingUser.Id!;
    }
    else
    {
        // 步骤3：创建新用户（原逻辑，建议用Google的sub作为IssuerAssignedId）
        var userToCreate = new User
        {
            DisplayName = email,
            Mail = email, // 设置mail字段，方便后续查询
            Identities =
            [
                new()
                {
                    SignInType = "federated",
                    Issuer = "google.com",
                    IssuerAssignedId = googleIssuerAssignedId
                }
            ],
            AccountEnabled = true,
        };

        try
        {
            var user = await graphServiceClient.Users.PostAsync(userToCreate, null, cancellationToken)
                ?? throw new Exception("User not found after registration");
            return user.Id!;
        }
        catch (ODataError exception) when (exception.ResponseStatusCode == (int)HttpStatusCode.BadRequest)
        {
            throw new UserAlreadyRegisteredException(email);
        }
    }
}

额外建议 #

• 使用Google的sub字段作为IssuerAssignedId：Google的sub是用户的唯一永久ID，比邮箱更可靠（用户可能变更邮箱），从Google /userinfo端点可以获取该字段。
• 验证Google邮箱状态：在关联前检查Google返回的email_verified字段是否为true，确保关联的是已验证的邮箱，避免潜在的账户劫持风险。
• 权限配置：确保Graph API应用拥有User.ReadWrite.All或Directory.ReadWrite.All权限，才能修改用户的身份信息。

内容的提问来源于stack exchange，提问作者Artleks