Google Identity JWT主键选择及后续用户登录方案咨询

1. 选择唯一标识关联Google账号与应用账号 #

Google OAuth返回的Payload.Sub（Subject）字段是每个Google用户的永久唯一标识，无论用户修改邮箱、昵称等信息，这个值都不会改变，完全适合作为关联Google账号和应用账号的核心键。

你需要调整现有架构：

• 取消Account表中Email作为主键的设计，改用独立主键（比如Guid AccountId或int AccountId），同时给Email字段添加唯一约束（确保密码登录的邮箱唯一性，第三方登录用户可后续绑定邮箱）。
• 新增UserExternalLogins关联表，结构示例：

  public class UserExternalLogin
  {
      public Guid AccountId { get; set; } // 关联应用Account的主键
      public string Provider { get; set; } // 第三方登录提供商，如"Google"
      public string ProviderUserId { get; set; } // Google返回的Payload.Sub值
      public DateTime CreatedAt { get; set; } = DateTime.UtcNow;
  
      // 外键关联Account
      public Account Account { get; set; }
  }
  

• 在Entity Framework中配置UserExternalLogins的复合主键（Provider + ProviderUserId），确保同一个第三方账号不会重复绑定到多个应用账号。

2. 后续用户登录应用账号的流程 #

场景一：用户首次通过Google登录 #

1. 前端获取Google令牌并发送至后端，后端通过GoogleJsonWebSignature.ValidateAsync验证令牌并拿到Payload。
2. 后端查询UserExternalLogins表，根据Provider="Google"和ProviderUserId=Payload.Sub查找关联Account。
3. 若未找到匹配记录：
   • 创建新Account记录（用Google返回的Email、DisplayName等填充基础信息）。
   • 在UserExternalLogins中添加绑定记录，关联新Account的ID与Google的Sub。
   • 生成应用自身的JWT令牌返回给前端，完成登录。

场景二：已有密码登录账号的用户绑定Google账号 #

1. 用户先通过密码登录应用，进入账号设置页面选择绑定Google账号。
2. 前端引导用户完成Google授权，获取令牌后发送至后端。
3. 后端验证令牌拿到Sub，检查UserExternalLogins是否已有该Sub的绑定记录：
   • 若无记录，将当前登录的AccountID与该Sub、Provider="Google"添加到关联表。
   • 若已有记录，提示用户该Google账号已绑定其他应用账号。

场景三：用户通过Google登录已有应用账号 #

1. 前端获取Google令牌并发送至后端，验证后拿到Sub和Email。
2. 后端优先查询UserExternalLogins表，若找到匹配的Sub，直接关联对应Account并生成应用JWT。
3. 若未找到Sub关联，但Account表中存在与Google返回Email一致的记录：
   • 弹出确认提示（因Email可能不唯一），让用户确认是否将该Google账号绑定到该应用账号。
   • 用户确认后，添加UserExternalLogins关联记录，再生成应用JWT。
4. 若既无Sub关联也无Email匹配，按首次登录流程创建新Account。

核心注意事项 #

• 永远以Payload.Sub作为第三方登录的核心关联标识，不要依赖Email。
• 保留原有密码登录流程，允许用户自由选择登录方式。
• 前端后续请求使用应用自身生成的JWT令牌，而非直接使用Google令牌。

内容的提问来源于stack exchange，提问作者Randy Hall