手动创建账户链接后，Google Authenticator无法获取本地账户属性求助

问题概述 #

按相关文档操作手动创建account_link关联本地账户，执行select * from "linked_accounts";确认关联记录，已配置Google Authenticator，本地账户的account_id与linked_accounts表中记录匹配，但使用Google登录时，未获取到本地账户的subject（预期为"cslues"），账号链接未生效；同时希望获取本地账户更多字段而非仅subject。

账号链接生效排查步骤 #

1. 确认linked_accounts表字段正确性
   必须确保三个核心字段精准匹配：

   • external_account_id：需等于Google身份提供者返回的用户唯一标识（即Google ID Token中的sub字段）
   • provider：需与你配置的Google IDP的标识完全一致（比如配置的IDP名称是"google"，这里就填"google"）
   • account_id：需准确对应本地用户表中的用户ID
     任一字段不匹配，Curity都无法完成账号关联。

2. 检查Google IDP的账号链接配置
   在Curity管理界面的Google IDP设置中，需开启账号链接功能，并关联对应的账号链接插件（如JDBC账号链接插件）。同时确认插件配置中，已正确映射linked_accounts表的三个核心字段，确保插件能正确查询关联关系。

3. 验证身份验证流程触发逻辑
   登录时Curity会先通过Google获取用户信息，再查询linked_accounts表匹配关联记录。若未返回本地subject，说明关联查询未触发：

   • 开启Curity的调试日志，查看账号链接插件的查询日志，确认是否执行了关联查询、查询条件是否正确
   • 检查身份验证流程中是否启用了账号链接步骤，确保流程会执行账号关联逻辑

关于匹配值的要求 #

是的，必须存在精准匹配值：Google返回的用户sub需与linked_accounts表的external_account_id匹配，且Google IDP的标识需与表中的provider字段匹配，二者同时满足才能关联到对应的本地account_id。

获取本地账户更多字段的配置方法 #

1. 用户存储配置
   在本地用户存储（如JDBC用户存储）的设置中，进入Attributes页面，添加需要返回的用户字段（如email、username、phone等），确保用户存储能拉取这些字段。

2. 令牌签发配置
   在身份验证流程的Token Issuance步骤中，配置需要包含在令牌中的Claims：

   • 选择"Add Claim"，设置Claim名称（如email），映射到用户存储中的对应字段（如user_email）
   • 根据业务需求，将这些Claims添加到ID Token或Access Token中

3. 账号链接插件配置
   确认账号链接插件在完成关联后，会从用户存储中拉取完整的用户属性，而非仅subject。部分插件需要配置属性映射，确保关联后能获取到所有需要的用户字段。

内容的提问来源于stack exchange，提问作者cesarluis