处理多个 3rd 方 oauth 提供商之间的帐户名称冲突

Question

我正在使用 OWIN 和 MVC 5 来处理多个 3rd 方身份提供者，包括 Facebook、LinkedIn 和 Google 帐户。

我的 ApplicationUser 目前正在继承默认的 IdentityUser，这似乎对电子邮件字段施加了唯一性约束。

如果我使用 Facebook 登录我的网站，我的用户名将设置为“john@hotmail.com”。然后，如果我回到该站点并尝试使用 google 进行身份验证，毫无疑问我会收到以下两个错误：

Name john@hotmail.com is already taken.
Email 'john@hotmail.com' is already taken.

理想情况下，我会将这两个身份合并到一个启用了 2 种 oauth 方法的帐户中。

我对 Microsoft 标识模型不是很熟悉 - 是否有一条阻力最小的途径可以实现我的目标？

我担心的一个问题是处理攻击者使用“john@hotmail.com”（如果我没有）注册一个linkedin 帐户并使用该方法尝试对我的站点进行身份验证的情况。在这种情况下，每次用户尝试在合并之前添加新的身份验证方法时，我都需要发送验证电子邮件。

编辑：

进行更多挖掘后，我发现我的用户配置定义了这些选项

manager.UserValidator = new UserValidator<ApplicationUser>(manager)
            {
                AllowOnlyAlphanumericUserNames = false,
                RequireUniqueEmail = true
            };

想知道这是否可取。如果最终用户将不同的电子邮件地址应用于他们的 Facebook 和 LinkedIn 个人资料，那可能只会造成更大的混乱。

Answer 1

UserManager 公开了AddLoginAsync 方法，目的是为现有用户添加另一个登录方法。在我的身份验证服务器中，只要电子邮件地址相同，我就允许用户通过任何方式登录。

关于创建虚假帐户，任何提供 OAuth2 授权服务的人都应该在允许使用这些服务之前验证电子邮件。谷歌和 Facebook 可以；我假设 LinkedIn 也可以，但不确定。提供商还可能公开 email_verified 声明或类似声明，您可以检查以确保安全。