ASP.NET MVC应用Google OAuth登录后如何跳过注册自动关联已有账号

现有方案的安全风险 #

你的当前实现存在账号接管风险，核心问题是没有验证第三方返回邮箱的归属有效性：

• 你直接信任了Google返回的邮箱字段，没有校验该邮箱确实是当前登录的Google账号持有人所有。部分场景下Google可能返回未验证的邮箱，或是攻击者可以伪造第三方登录返回的邮箱字段，只要填写你系统内已存在的用户邮箱，就能直接绕过密码登录到对应账号，权限完全失控。
• 该实现只是临时绕过了账号关联步骤，没有真正把Google账号和你的系统账号做绑定，用户下次使用Google登录时仍然会走到登录失败分支，需要重复匹配邮箱，逻辑存在冗余。

优化后的安全实现 #

你需要补充邮箱有效性校验、自动绑定第三方登录凭据两个步骤，修改后代码如下：

switch (result)
{
    case SignInStatus.Success:
         return RedirectToLocal(returnUrl);

    case SignInStatus.LockedOut:
         return View("Lockout");

    case SignInStatus.RequiresVerification:
         return RedirectToAction("SendCode",
                                 new { 
                                          ReturnUrl = returnUrl,
                                          RememberMe = false 
                                     });

    case SignInStatus.Failure:
    default:
         ViewBag.ReturnUrl = returnUrl;
         ViewBag.LoginProvider = loginInfo.Login.LoginProvider;

         // 新增：校验Google返回的邮箱已完成验证
         var emailVerified = loginInfo.ExternalIdentity.FindFirstValue("email_verified");
         if (!string.IsNullOrEmpty(loginInfo.Email) && emailVerified == "true")
         {
             var existingUser = await UserManager.FindByEmailAsync(loginInfo.Email);
             if (existingUser != null)
             {
                 // 新增：将当前Google登录凭据绑定到匹配到的系统账号
                 var bindResult = await UserManager.AddLoginAsync(existingUser.Id, loginInfo.Login);
                 if (bindResult.Succeeded)
                 {
                     await SignInManager.SignInAsync(existingUser,
                                                     isPersistent: false,
                                                     rememberBrowser: false);
                     return RedirectToLocal(returnUrl);
                 }
             }
         }

         return View("ExternalLoginConfirmation",
                     new ExternalLoginConfirmationViewModel 
                         { 
                             Email = loginInfo.Email 
                         });
}

优化后逻辑既解决了自动关联已有账号的需求，也避免了账号被恶意接管的风险，同时完成账号绑定后下次Google登录会直接命中SignInStatus.Success分支，不需要重复走匹配逻辑。

内容的提问来源于stack exchange，提问作者flashsplat