Spring Security集成Google OAuth时，能否将邮箱设为principalId？

一、将PrincipalID设置为用户邮箱 #

要替换OAuth2AuthenticationToken.getName()的返回值为用户邮箱，核心是自定义OAuth2UserService，在加载用户信息时重写用户标识：

1. 实现自定义OAuth2UserService
   继承DefaultOAuth2UserService，从第三方平台返回的用户属性中提取邮箱，并用邮箱作为用户的name字段构建OAuth2User：

import org.springframework.security.oauth2.client.userinfo.DefaultOAuth2UserService;
import org.springframework.security.oauth2.client.userinfo.OAuth2UserRequest;
import org.springframework.security.oauth2.core.OAuth2AuthenticationException;
import org.springframework.security.oauth2.core.user.DefaultOAuth2User;
import org.springframework.security.oauth2.core.user.OAuth2User;
import org.springframework.stereotype.Service;
import java.util.Map;

@Service
public class CustomOAuth2UserService extends DefaultOAuth2UserService {
    @Override
    public OAuth2User loadUser(OAuth2UserRequest userRequest) throws OAuth2AuthenticationException {
        OAuth2User oAuth2User = super.loadUser(userRequest);
        Map<String, Object> attributes = oAuth2User.getAttributes();
        
        // 提取邮箱：不同平台的字段名可能不同，Google为"email"
        String email = (String) attributes.get("email");
        
        // 以邮箱作为用户标识（name字段）返回
        return new DefaultOAuth2User(oAuth2User.getAuthorities(), attributes, email);
    }
}

2. 配置SecurityFilterChain注入自定义服务
   在Spring Security配置中，指定使用自定义的用户信息服务：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.oauth2.client.userinfo.OAuth2UserService;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    private final OAuth2UserService customOAuth2UserService;

    public SecurityConfig(OAuth2UserService customOAuth2UserService) {
        this.customOAuth2UserService = customOAuth2UserService;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2Login(oauth2 -> oauth2
                .userInfoEndpoint(userInfo -> userInfo
                    .userService(customOAuth2UserService)
                )
            );
        return http.build();
    }
}

注意：需确保第三方平台的授权scope包含邮箱权限，比如Google需添加https://www.googleapis.com/auth/userinfo.email。

二、统一获取用户标识的简便方式 #

在自定义OAuth2UserService中，可根据平台类型统一提取第三方用户ID，并可将这些信息绑定到自定义用户实体中：

1. 区分平台提取用户ID
   在loadUser方法中，通过clientRegistrationId判断平台，提取对应字段：

String clientId = userRequest.getClientRegistration().getRegistrationId();
String providerUserId;
if ("google".equals(clientId)) {
    providerUserId = (String) attributes.get("sub"); // Google的用户ID字段
} else if ("github".equals(clientId)) {
    providerUserId = (String) attributes.get("id"); // GitHub的用户ID字段
} else {
    // 其他平台的字段映射
    providerUserId = (String) attributes.get("id");
}

2. 在业务代码中获取用户信息
   通过@AuthenticationPrincipal注解直接获取当前用户的属性，包括邮箱（即PrincipalID）和第三方用户ID：

import org.springframework.security.core.annotation.AuthenticationPrincipal;
import org.springframework.security.oauth2.core.user.OAuth2User;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class UserController {
    @GetMapping("/user")
    public String getUserInfo(@AuthenticationPrincipal OAuth2User oAuth2User) {
        String email = oAuth2User.getName(); // 当前已替换为邮箱
        String providerUserId = (String) oAuth2User.getAttributes().get("sub"); // Google用户ID
        return "邮箱：" + email + "，第三方用户ID：" + providerUserId;
    }
}

内容的提问来源于stack exchange，提问作者Vibha Gopal