如何处理Google与Azure等不同OAuth提供商下的相同邮箱账号？

首先给出明确建议：优先提供账号关联选项，而非直接创建新用户，下面是具体的原因、合规性说明和实现细节：

• 用户体验优先：同一个邮箱对应两个独立账号会给用户带来极大困扰——比如订单、个人设置、收藏内容无法互通，用户需要重复操作。从用户角度出发，他们大概率希望用同一邮箱的不同登录方式访问同一个账号。

• 恶意风险已被规避：你提到的Google账号需验证邮箱这点很关键，这意味着能通过Google登录的同邮箱账号，必然是邮箱持有者本人（或获得授权的人），恶意冒用的可能性几乎为0，这为账号关联提供了安全基础。

• 合规性注意事项：

  • 必须基于用户明确授权进行关联：当检测到同邮箱的现有账号时，务必弹出提示告知用户“我们发现你已有对应账号，是否将当前登录方式（Google/Azure）关联至该账号？”，让用户主动选择，不能自动静默关联。
  • 符合第三方平台条款：Google和Microsoft的OAuth开发者条款均允许基于用户授权的身份信息进行账号关联，只要你不滥用用户数据、不未经许可合并用户信息，就不会违反规定。

• 实现要点：

  • 登录时，务必校验第三方返回的邮箱验证状态：只使用email_verified为true的邮箱进行匹配（Google和Azure都会返回该字段）。
  • 用户确认关联后，在用户表中新增对应身份提供商的标识（比如provider_type和provider_id字段），后续无论用户用哪个关联的方式登录，都能匹配到同一用户记录。
  • 保留“创建新用户”的选项：虽然场景少见，但要允许用户选择不关联，创建独立账号（比如用户确实想用同一邮箱的不同账号隔离数据）。

内容的提问来源于stack exchange，提问作者Alessandro Amos