Devise+Omniauth：用户启用SSO后如何禁用邮箱密码登录

针对Devise框架下已接入Google OAuth的站点，要禁用绑定Google账号用户的邮箱密码登录权限，可以按以下三层逻辑实现，从根源避免权限漏洞：

首先给users表加布尔字段标识账号是否仅允许Google OAuth登录，后续配合清空密码哈希的逻辑，从数据层堵死密码登录可能。
生成迁移的命令：

rails generate migration AddOnlyGoogleOauthToUsers only_google_oauth:boolean

修改迁移文件设置默认值，避免老用户权限异常：

class AddOnlyGoogleOauthToUsers < ActiveRecord::Migration[7.0]
  def change
    add_column :users, :only_google_oauth, :boolean, default: false, null: false
  end
end

执行迁移生效：

rails db:migrate

在你已有的Google Omniauth回调逻辑里，只要用户通过Google授权校验完成登录/注册，就自动把账号标记为仅OAuth登录，同时清空原有密码哈希值。
这里直接清空encrypted_password是成本最低的兜底方案，就算上层校验逻辑出现遗漏，也无法通过密码哈希匹配完成登录。
对应回调代码参考：

# app/controllers/users/omniauth_callbacks_controller.rb
def google_oauth2
  @user = User.from_omniauth(request.env['omniauth.auth'])

  if @user.persisted?
    @user.update!(
      only_google_oauth: true,
      encrypted_password: nil
    )
    sign_in_and_redirect @user, event: :authentication
  else
    session['devise.google_data'] = request.env['omniauth.auth'].except(:extra)
    redirect_to new_user_registration_url, alert: @user.errors.full_messages.join("\n")
  end
end

如果你做了账号绑定/解绑功能，用户主动解绑Google账号时，需要引导用户设置新的登录密码，同时把only_google_oauth字段改回false，避免账号无法登录。

做控制器+模型双拦截，避免绕过前端的非法登录请求：

• 自定义Devise的Sessions控制器，重写登录创建逻辑，在密码校验前就拦截OAuth专属账号的登录请求：

# app/controllers/users/sessions_controller.rb
class Users::SessionsController < Devise::SessionsController
  def create
    login_user = User.find_by(email: params[:user][:email].downcase)
    if login_user&.only_google_oauth?
      flash[:alert] = "当前账号已绑定Google登录，请使用「Sign in with Google」入口访问"
      redirect_to new_user_session_path and return
    end
    super
  end
end

• 修改路由配置，让Devise加载你自定义的会话控制器：

# config/routes.rb
devise_for :users, controllers: {
  omniauth_callbacks: 'users/omniauth_callbacks',
  sessions: 'users/sessions'
}

• 模型层加校验兜底，避免绕开控制器的登录操作：

# app/models/user.rb
class User < ApplicationRecord
  # 原有devise、关联等配置保持不变
  validate :block_password_login_for_oauth_accounts, on: :password_login

  private
  def block_password_login_for_oauth_accounts
    if only_google_oauth? && encrypted_password.present?
      errors.add(:base, "该账号仅支持Google账号登录，请使用对应入口")
    end
  end
end

• 额外在密码找回、密码修改接口也加同样的判断，拦截OAuth专属账号的密码重置、修改请求，避免用户通过重置密码通道恢复密码登录权限。

如果接入SSO之前已经有用户绑定过Google账号，写个一次性Rake任务批量更新这批历史账号：把绑定了Google授权的账号统一标记为only_google_oauth: true，同时清空encrypted_password字段，避免老绑定账号仍可通过密码登录。

内容的提问来源于stack exchange，提问作者collimarco