如何通过Google OAuth实现仅组织自定义域名邮箱可注册

首先纠正一个常见误区：OAuth Consent Screen 配置页本身没有直接限制可登录账号域名的选项，你需要搭配Google侧配置+服务端校验两层逻辑实现需求，仅靠前端配置或参数无法保证安全性。

1. 第一层：Google侧拦截（仅适用于组织域名由Google Workspace托管的场景） #

如果你的@my_organization.com域名是通过Google Workspace管理的企业域名，直接修改应用发布状态即可在Google授权页屏蔽所有非组织账号：

• 进入Google Cloud控制台，打开对应项目的「API和服务」-「OAuth同意屏幕」页面
• 找到「用户类型」配置，将原来的「外部（External）」修改为「内部（Internal）」
• 保存配置后，普通@gmail.com账号在访问授权页时会直接被Google拦截，账号选择列表里也只会展示你所属组织下的账号，不会出现个人gmail账号选项。

如果你的组织域名不是Google Workspace托管（比如自建邮箱、第三方厂商托管的企业邮箱，仅用户个人用该邮箱注册了Google账号），这层配置无法生效，必须靠下面的服务端校验做限制。

2. 第二层：服务端强制校验（所有场景必须实现，为安全兜底） #

无论是否配置了上面的内部应用限制，都必须在服务端的OAuth回调逻辑里做域名校验，这是唯一无法被绕过的安全方案：

• 发起OAuth授权时，确保申请了openid、email、profile三个基础权限，保证回调时能拿到Google返回的已验证邮箱信息
• 服务端拿到Google返回的用户身份信息后，依次做两个判断：
  • 校验返回信息中的email_verified字段值必须为true，拒绝未完成邮箱验证的账号
  • 将获取到的邮箱统一转为小写后，校验后缀严格匹配@my_organization.com
• 任意一项校验不通过，直接终止注册/登录流程，返回明确的错误提示即可。

服务端校验逻辑参考（通用伪代码）：

// OAuth回调处理逻辑
function handleOAuthCallback(accessToken) {
  // 从Google接口获取用户信息
  const userInfo = fetchGoogleUserInfo(accessToken)
  
  // 校验邮箱已通过Google验证
  if (!userInfo.email_verified) {
    throw new Error("请使用已完成验证的Google账号登录")
  }

  // 校验邮箱域名归属
  const userEmail = userInfo.email.toLowerCase()
  if (!userEmail.endsWith("@my_organization.com")) {
    throw new Error("仅支持@my_organization.com组织内部邮箱注册登录")
  }

  // 校验通过，执行后续注册/登录逻辑
  return createOrLoginUser(userInfo)
}

3. 可选优化：授权页域名预填 #

如果因为业务需求不能把应用设为内部模式，可以在发起OAuth授权请求时携带hd=my_organization.com参数，该参数会让Google授权页优先展示对应域名下的账号，优化用户选择体验。

注意：hd参数仅做体验优化，没有安全校验能力，攻击者可以手动构造请求删除该参数绕过限制，绝对不能把这个参数作为唯一的域名校验手段。

安全提醒：所有校验逻辑必须在服务端实现，前端做的域名后缀校验仅用于提前给用户提示，非常容易被篡改绕过，不能作为安全判断依据。

内容的提问来源于stack exchange，提问作者Eager-to-learn