Next-Auth同一邮箱用多登录提供商报错OAuthAccountNotLinked问题咨询

问题本质 #

这是Next-Auth的默认安全行为：当你尝试用一个OAuth账号（如GitHub）登录时，如果该账号的邮箱已存在于用户表，但该邮箱对应的用户未绑定当前OAuth账号，Next-Auth会抛出OAuthAccountNotLinked错误，避免未经授权的账号关联。

解决方案：修改signIn回调实现账号关联 #

你需要在signIn回调中添加逻辑，处理OAuthAccountNotLinked场景，可选择自动关联同邮箱账号，或引导用户手动确认关联。

修改你的signIn回调代码如下：

async signIn({ user, account, profile, email, credentials }) {
  // 保留原有Credentials登录逻辑
  if (
    req.query.nextauth?.includes("callback") &&
    req.query.nextauth?.includes("credentials") &&
    req.method === "POST"
  ) {
    if (user) {
      const sessionToken = generateSessionToken();
      const sessionMaxAge = 60 * 60 * 24 * 30; // 30天
      const sessionExpiry = fromDate(sessionMaxAge);

      await adapter.createSession({
        sessionToken: sessionToken,
        userId: user.id,
        expires: sessionExpiry,
      });

      const cookies = new Cookies(req, res);

      cookies.set("next-auth.session-token", sessionToken, {
        expires: sessionExpiry,
      });
    }
  }

  // 新增：处理OAuth账号关联逻辑
  if (account?.type === "oauth" && user.email) {
    try {
      // 查询是否存在同邮箱的已有用户
      const existingUser = await prisma.user.findUnique({
        where: { email: user.email },
        include: { accounts: true },
      });

      if (existingUser) {
        // 检查该用户是否已绑定当前provider的账号
        const hasLinkedAccount = existingUser.accounts.some(
          acc => acc.provider === account.provider && acc.providerAccountId === account.providerAccountId
        );

        if (!hasLinkedAccount) {
          // 将当前OAuth账号关联到已有用户
          await prisma.account.create({
            data: {
              userId: existingUser.id,
              type: account.type,
              provider: account.provider,
              providerAccountId: account.providerAccountId,
              refresh_token: account.refresh_token,
              access_token: account.access_token,
              expires_at: account.expires_at,
              token_type: account.token_type,
              scope: account.scope,
              id_token: account.id_token,
              session_state: account.session_state,
            },
          });
        }
        return true;
      }
    } catch (error) {
      // 捕获OAuthAccountNotLinked错误，处理后允许登录
      if (error instanceof Error && error.message.includes("OAuthAccountNotLinked")) {
        // 可选：此处可添加用户确认逻辑，比如跳转至关联确认页面
        return true;
      }
      throw error;
    }
  }

  return true;
}

额外注意事项 #

• GitHub邮箱获取配置：GitHub默认不返回用户邮箱，需在GitHub Provider中添加邮箱权限：

GithubProvider({
  clientId: process.env.GITHUB_ID as string,
  clientSecret: process.env.GITHUB_SECRET as string,
  authorization: {
    params: {
      scope: "read:user user:email" // 添加邮箱读取权限
    }
  },
  profile(profile, token) {
    return {
      id: profile.id.toString(),
      name: profile.name || profile.login,
      image: profile.avatar_url,
      email: profile.email,
      role: Role.USER,
    };
  },
})

• 安全提示：自动关联同邮箱账号存在一定安全风险（如不同用户持有同邮箱的不同OAuth账号），若应用安全性要求高，建议增加用户手动确认步骤，再执行关联操作。

内容的提问来源于stack exchange，提问作者Henrique Ramos