网站同时管理普通用户登录与Google sign-in的最佳实现方案

表结构选型 #

• 不建议单独建 Google 用户表，也不要直接把第三方属性合并到原有用户主表，最优方案是新增一张user_oauth_providers关联表，和原有用户表做一对多关联
  • 原有用户主表保留现有结构，存储全站通用的用户属性：user_id、username、email、password_hash、注册时间、账号状态等
  • 新增的关联表字段包括：id、user_id（外键关联主表 user_id）、provider（第三方标识，固定存google即可）、provider_user_id（Google 返回的用户唯一ID）、access_token、refresh_token、expire_at、绑定时间
  • 该方案天然支持后续接入 GitHub、微信等其他第三方登录，无需反复修改主表结构，扩展性远高于另外两种方案

单独建第三方用户表会导致后续查询、统计用户数据需要跨表遍历，维护成本极高；直接把第三方字段塞到主表会导致主表冗余度越来越高，每加一个第三方登录就要加多个字段，完全不可持续。

密码字段处理规则 #

• 原有用户表的password_hash字段直接设置为允许 NULL 即可，不要自动生成随机密码，也无需强制 Google 登录用户额外设置密码
  • 自动生成随机密码属于无效操作，用户完全不知情，反而会留下撞库、暴力破解的安全隐患
  • 仅当用户主动发起「设置/修改密码」操作时，再更新该字段即可
  • 登录校验逻辑和密码字段完全解耦：账号密码登录才校验password_hash，第三方登录完全不涉及该字段的判断

同邮箱账号合并逻辑 #

• 必须做账号合并处理，避免用户数据碎片化
  • 具体流程：
    1. 用户走普通注册提交邮箱时，先查询是否存在同邮箱的已注册账号
    2. 如果已有账号且绑定过 Google 登录，直接提示「该邮箱已通过 Google 注册，请直接选择 Google 登录」，拦截重复注册
    3. 如果已有账号但未绑定过 Google（无论用户是先普通注册后用同邮箱 Google 登录，还是先 Google 注册后走同邮箱普通注册），校验完当前操作的用户身份后（普通注册要验证邮箱所有权，Google 登录直接信任 Google 返回的邮箱验证状态），询问用户是否要合并账号，用户确认后将 Google 授权信息写入user_oauth_providers表，关联到已有账号即可

内容的提问来源于stack exchange，提问作者Joao costa