Spring Security OAuth2 Facebook登录报principalName cannot be empty错误如何处理

该异常触发的核心原因是Spring Security OAuth2默认将你配置的Facebook登录用户名属性email作为principalName（用户唯一标识），而通过手机号注册的Facebook账号，即使用户授权了email scope，接口也可能返回空的邮箱字段，触发Assert.hasText非空校验抛出异常。

1. 自定义principalName提取规则，增加兜底逻辑 #

优先取返回的邮箱字段，邮箱为空时用Facebook返回的全局唯一用户IDid作为principalName，该字段所有Facebook用户都必然存在，不会为空。
你可以通过自定义OAuth2UserService实现该逻辑，Java配置示例如下：

@Bean
public OAuth2UserService<OAuth2UserRequest, OAuth2User> facebookOAuth2UserService() {
    DefaultOAuth2UserService defaultService = new DefaultOAuth2UserService();
    return userRequest -> {
        OAuth2User originalUser = defaultService.loadUser(userRequest);
        Map<String, Object> userAttrs = originalUser.getAttributes();
        // 优先取邮箱，为空则兜底用用户ID
        String principalName = Optional.ofNullable((String) userAttrs.get("email"))
                .orElse((String) userAttrs.get("id"));
        // 构造新的OAuth2User返回
        return new DefaultOAuth2User(
                originalUser.getAuthorities(),
                userAttrs,
                userAttrs.get("email") != null ? "email" : "id"
        );
    };
}

将自定义服务注入到Spring Security配置中：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        // 其余配置省略
        .oauth2Login()
        .userInfoEndpoint()
        .userService(facebookOAuth2UserService());
}

2. 兼容必须绑定邮箱的业务场景 #

如果你的业务逻辑要求用户必须留存邮箱，可以在获取到OAuth2用户信息后检测邮箱字段，为空则跳转到邮箱绑定引导页，让用户手动补全邮箱后再完成登录/注册流程。

3. 强制重新申请邮箱授权 #

可以在Facebook授权请求中增加auth_type=rerequest参数，对之前拒绝过邮箱授权的用户，强制重新发起邮箱权限申请，降低无邮箱场景的出现概率，配置示例如下：

spring:
  security:
    oauth2:
      client:
        registration:
          facebook:
            client-id: 你的Facebook应用ID
            client-secret: 你的Facebook应用密钥
            scope: public_profile,email
        provider:
          facebook:
            authorization-uri: https://www.facebook.com/v18.0/dialog/oauth?auth_type=rerequest

内容的提问来源于stack exchange，提问作者V R