TinyAuth 3.3版本GitHub OAuth登录白名单校验异常分析与修复

在TinyAuth 3.3版本中，用户通过GitHub OAuth登录时出现了一个关键性功能异常。具体表现为系统错误地将GitHub用户名（username）而非用户注册邮箱（email）作为白名单校验的依据，导致配置了邮箱白名单（OAUTH_WHITELIST）的用户无法正常登录。

问题现象

当用户使用GitHub账号登录时，系统日志错误显示：

ERR Email is not whitelisted email=erwinkramer

其中"erwinkramer"实际是用户在GitHub的用户名，而非其注册邮箱地址。这表明系统错误地提取了用户名而非邮箱进行白名单校验。

技术背景

TinyAuth是一个轻量级认证服务，支持通过OAuth协议集成第三方登录。在GitHub OAuth流程中：

1. 用户通过GitHub授权
2. TinyAuth获取用户信息
3. 系统校验用户信息中的邮箱是否在白名单内
4. 校验通过后完成登录

在3.3版本前，系统能正确提取GitHub账户的注册邮箱进行校验。

问题根源

经分析，该问题源于3.3版本中GitHub OAuth接口响应处理逻辑的变更。新版本错误地从用户信息中提取了"login"字段（即用户名）而非"email"字段作为校验依据。

解决方案

开发团队在3.3.1版本中修复了该问题，主要修改包括：

1. 修正GitHub用户信息解析逻辑
2. 确保始终使用邮箱地址进行白名单校验
3. 增强错误日志的准确性

最佳实践建议

对于使用TinyAuth的企业或开发者：

1. 及时升级到3.3.1或更高版本
2. 在测试环境充分验证OAuth登录流程
3. 监控系统日志中的认证相关错误
4. 定期检查白名单配置的有效性

该修复体现了TinyAuth团队对认证安全性的重视，确保OAuth集成既保持便利性又不降低安全标准。