如何编程预绑定SCIM预创建用户与外部IDP账号（免本地登录）

完全可以无需本地用户名密码，通过预绑定外部IDP的唯一标识（如Google的sub）到SCIM预创建的本地账号，实现无交互的账号关联与登录，核心思路是提前建立外部身份标识与本地账号的映射关系，在IDP认证后自动匹配关联，具体实现步骤如下：

1. 预存储外部身份映射关系 #

在通过SCIM创建本地用户时，提前将外部IDP的唯一标识（如Google的sub值）写入用户的关联属性中：

• 在Curity的用户存储中，为用户添加自定义属性（比如externalIdentities），结构示例：

  "externalIdentities": [
    {"provider": "google", "sub": "10xxxxxxxxx3456789"},
    {"provider": "azure-ad", "oid": "000xxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"}
  ]
  

• 确保该属性在用户存储中支持组合查询（比如配置查询索引，允许通过provider+sub/oid匹配本地用户）。

2. 配置认证流程的自动关联逻辑 #

在Curity的IDP认证流程中添加自定义脚本，实现认证后的自动账号关联：

• 在Google等IDP的认证动作后，添加Post-Authentication阶段脚本，逻辑如下：

  function execute(context) {
      // 获取当前IDP返回的唯一标识
      var idpSub = context.getAttribute('sub');
      var provider = 'google'; // 根据当前IDP动态设置，可从上下文获取
  
      // 查询本地用户存储，匹配预存的外部身份映射
      var matchedUser = userStore.queryByAttributes({
          'externalIdentities.provider': provider,
          'externalIdentities.sub': idpSub
      });
  
      if (matchedUser && matchedUser.length > 0) {
          // 直接关联到本地账号，跳过绑定表单
          context.setAccountId(matchedUser[0].id);
          context.setAuthenticated(true);
          // 同步本地账号数据到会话（如需）
          context.setAttribute('localUserEmail', matchedUser[0].email);
      } else {
          // 无匹配时的处理（可选：引导注册/手动绑定，或返回错误）
          throw new Error('No linked local account found for this external identity');
      }
  }
  

3. 禁用默认的账号链接交互 #

• 在Curity认证服务的Account Linking配置阶段，设置为自动关联或直接跳过交互流程，确保IDP认证完成后直接执行上述脚本逻辑，不触发HTML绑定表单。

关键注意事项 #

• 确保外部IDP的标识字段稳定性：比如Google的sub、Azure AD的oid都是用户永久唯一的标识，不会随时间变更，避免映射关系失效。
• 优化查询性能：如果用户量较大，为externalIdentities.provider和externalIdentities.sub建立联合索引，提升匹配查询的速度。
• 多IDP兼容：扩展脚本逻辑，支持同时处理多个IDP的标识字段，实现一个本地账号绑定多个外部身份。

内容的提问来源于stack exchange，提问作者cesarluis