如何将第三方OAuth与自有用户认证系统整合并存储对应数据？

一、数据库调整 #

你原有思路的核心问题是GitHub返回的access token存在有效期、且用户可主动取消授权作废，绝对不能用来替代本站密码哈希存储，推荐做以下调整：

1. 原有用户表改造 #

• 密码字段设置为允许为NULL，第三方登录的用户无需设置本站密码
• 新增account_source字段，枚举值为email/github等，区分账号注册来源

2. 新增第三方授权关联表（支持后续多平台扩展） #

不需要把第三方信息和原有用户表揉在一起，单独建表更灵活，核心字段如下：

• id：自增主键
• user_id：外键，关联原有用户表的唯一用户ID
• oauth_platform：字符串，标记平台来源，比如填github
• oauth_union_id：字符串，存储GitHub返回的用户唯一永久ID（对应GitHub用户信息接口的id字段，该值永久不会变更，是用户身份匹配的核心依据）
• oauth_access_token：字符串，存储GitHub返回的短期access token，建议加密存储
• oauth_refresh_token：字符串，存储GitHub返回的refresh token，用于过期后续权
• expire_time：时间戳，记录access token的过期时间
• 常规create_time/update_time字段

二、登录流程适配（完全兼容原有JWT逻辑） #

你不需要修改原有邮箱登录的JWT生成、前端存储逻辑，第三方登录按以下流程走即可：

1. 完成GitHub OAuth授权回调后，从返回的用户信息中取出永久唯一id，到第三方授权关联表中查询匹配记录
2. 存在匹配记录：直接取出关联的user_id，调用你原有生成JWT的逻辑生成令牌返回给前端，前端照旧把JWT存储在localStorage即可，后续请求鉴权逻辑和普通邮箱登录用户完全一致
3. 不存在匹配记录：触发新用户注册流程
   • 优先取GitHub返回的公开邮箱作为用户表的邮箱字段值，如果用户设置了邮箱不公开，可弹窗引导用户补充输入邮箱
   • 用户表的密码字段留空，account_source标记为github，完成用户账号创建
   • 将新生成的用户ID、GitHub用户唯一ID、access token等信息存入第三方授权关联表
   • 最后生成JWT返回给前端即可

可选优化：如果查询到GitHub返回的邮箱已经在你的用户表中存在（用户之前已经用该邮箱注册过本站账号），可以引导用户输入原有账号的密码完成绑定，把第三方关联记录和老账号绑定，避免生成重复账号。

内容的提问来源于stack exchange，提问作者Ayyli