用户用同社交账号邮箱密码替代SSO登录的验证方案咨询

Google SSO的核心限制 #

• Google绝对不允许第三方网站直接接收并验证Gmail账号的密码，这既违反Google服务条款，也严重违背安全原则。Google SSO基于OAuth/OpenID Connect协议运作，全程不会让第三方接触到用户的Google密码，所有身份验证流程都在Google的官方授权服务器完成。

网站的可行解决方案 #

当用户首次通过Google SSO登录你的网站时，你需要提前做好以下准备，才能支持后续的邮箱密码登录：

• 不要依赖Google的密码体系，而是为该用户账号生成随机初始密码，或者在用户首次SSO登录后，引导其设置独立的网站专属密码。
• 将Google返回的Gmail邮箱作为用户账号的唯一标识之一，同时在系统中存储该账号密码的哈希值（必须用bcrypt、Argon2这类强哈希算法，绝对不能明文存储密码）。
• 后续用户用邮箱密码登录时，直接验证输入的密码与系统存储的哈希值是否匹配即可，完全不需要和Google做任何交互。

额外优化建议 #

可以在用户首次完成Google SSO登录后，主动弹出提示引导用户设置独立密码，避免后续用户想使用密码登录时出现无密码可用的尴尬情况。

内容的提问来源于stack exchange，提问作者Evan W.