启用邮箱为用户名后，WSO2 IS 6.1谷歌联邦认证无法获取本地用户

问题背景 #

使用WSO2 Identity Server 6.1版本，已完成谷歌联邦认证配置，普通用户名模式下逻辑正常：本地用户存在则直接登录，不存在则引导至注册页面。但启用邮箱作为用户名功能后，联邦认证成功获取邮箱信息，调用getUniqueUserWithClaimValues(claimMap, "carbon.super")却始终返回null，即使本地存在对应用户。

核心原因 #

启用邮箱作为用户名后，WSO2 IS将邮箱地址作为用户名字段存储，此时通过Claim查找用户的逻辑需要适配这一配置变化，常见问题点包括：Claim映射未关联到用户名字段、搜索属性未配置、或查找方法的使用场景不匹配。

解决方案 #

1. 验证用户存储的Claim映射配置 #

启用邮箱作为用户名后，需确保http://wso2.org/claims/emailaddress已映射到用户存储的username属性：

• 进入WSO2 IS管理控制台，依次点击用户和角色 > 用户存储 > 主用户存储
• 在Claim Mapping标签页中，确认http://wso2.org/claims/emailaddress对应的用户存储属性为USER_NAME（JDBC用户存储）或对应LDAP的用户名属性
• 若未配置，添加映射并保存，重启IS生效

2. 调整认证脚本的用户查找逻辑 #

由于启用邮箱作为用户名后，用户名即为邮箱地址，可直接使用邮箱调用getUser方法替代getUniqueUserWithClaimValues，避免Claim查找的潜在问题：
修改脚本中的用户查找部分：

// 替换原claimMap和getUniqueUserWithClaimValues逻辑
var federatedEmail = fedUser.remoteClaims.email.trim().toLowerCase();
var storedLocalUser = getUser(federatedEmail, "carbon.super");

若仍需使用Claim查找，需确保邮箱格式完全匹配（如大小写一致），或改用getUserListWithClaimValues排查：

var claimMap = {};
claimMap["http://wso2.org/claims/emailaddress"] = federatedEmail;
var userList = getUserListWithClaimValues(claimMap, "carbon.super");
if(userList && userList.length > 0){
    storedLocalUser = userList[0];
}

3. 配置用户存储的可搜索属性 #

确保http://wso2.org/claims/emailaddress被添加到用户存储的Search Attributes中：

• 在主用户存储配置页面的General标签页，找到Search Attributes
• 添加emailaddress（或对应映射的属性名）到列表中，保存后重启IS

4. 开启日志排查细节 #

开启用户存储模块的DEBUG日志，查看搜索过程的具体执行：

• 修改log4j2.properties，添加：

  logger.user-core.name = org.wso2.carbon.user.core
  logger.user-core.level = DEBUG
  

• 重启IS后，执行联邦认证，查看wso2carbon.log中用户搜索的SQL查询或LDAP过滤条件，确认是否正确查询了邮箱对应的字段

内容的提问来源于stack exchange，提问作者Sujith Fredrick