next-authでメールアドレスを小文字に変換してる件を調査してみる

個人開発で、メールアドレスが大文字→小文字に変換されてて困ったので記録として残しておこう

環境

Next.js: 12.1.6
next-auth: 4.10.3

IDP: AAD B2C

何が起きた？

AAD で連絡先メールアドレスとしてSAMPLE@example.comを登録した

すると、jwtのペイロードでは、連絡先メールアドレス + ユーザープリンシパルが返される

ここまでは想定通り

next-authのコードで、次のようなコードを書いてみることとする。

export default NextAuth({
  providers: [
    AzureADB2CProvider({
      tenantId: process.env.AZURE_AD_B2C_TENANT_NAME,
      clientId: process.env.AZURE_AD_B2C_CLIENT_ID,
      clientSecret: process.env.AZURE_AD_B2C_CLIENT_SECRET,
      primaryUserFlow: process.env.AZURE_AD_B2C_PRIMARY_USER_FLOW,
      authorization: { params: { scope: 'offline_access openid' } },
    }),
  ],
  callbacks: {
    async jwt({ token, account }) {
      console.log('at jwt:', token.email)
      return token
    },
    async session({ session, token }) {
      console.log('token at session:', token.email)
      console.log('session at session:', session.user?.email)
      return session
    },
  },
})

ログインしてみると、ターミナルにはこの表示が、、

sample@example.com だと！！（想定だと、SAMPLE@example.com
jwtの結果がsessionに転送されるので、jwtの値がこうなる時点で、sessionの値がこうなるのは想定通り

next-authのコードを確認していく
https://github.com/nextauthjs/next-auth

まずは、AADのProviderがどうかを見てみる

AAD B2C用のプロバイダーでは変換はしてなさそうに見える

https://github.com/nextauthjs/next-auth/blob/3b25935c8378da259ce7a83fbf89ca83f04072d1/packages/core/src/providers/azure-ad-b2c.ts#L36

ドキュメントにもemailについては書いてなさそう
https://authjs.dev/guides/basics/callbacks#jwt-callback

githubのissueを見てみる

https://github.com/nextauthjs/next-auth/issues?q=is%3Aissue+lowercase+email

lower caseに関する記述があるなー

https://github.com/nextauthjs/next-auth/issues/287#issuecomment-646946419

It seems like the only consideration is the normalisation of the email address to lowercase - i.e. if there is an email address property, it should be lowercased - and if we need to move that logic somewhere else, maybe ~ line 40 of next-auth/src/server/routes/callback.js?

I left a comment on the sign up page on why I lower case it, even though it's technically against the RFC 2821 - basically this is not how email address work in practice and nobody wants to accidentally end up with two email accounts because they typed in 'joe@example.com' instead of joe@example.com.

lowercaseに変換するコードはsigninの中に存在するということが分かった

https://github.com/nextauthjs/next-auth/blob/3b25935c8378da259ce7a83fbf89ca83f04072d1/packages/core/src/lib/routes/signin.ts#L28-L29

https://github.com/nextauthjs/next-auth/blob/0ea9ada3a986ba65f07a97b768ce78785cac18af/packages/core/src/providers/email.ts#L63-L76

https://github.com/nextauthjs/next-auth/blob/3b25935c8378da259ce7a83fbf89ca83f04072d1/packages/core/src/lib/routes/signin.ts#L61-L70

が、よく見てみると、これはprovider typeがemailの場合のコードだ

今回はoauthなので、toLowerCaseされているところを中心に見てみる

oauthで使われるcallbackでemailを小文字にしてる

https://github.com/nextauthjs/next-auth/blob/b2450ef625b3873cb3d4f4b1b34926beefd4432c/packages/core/src/lib/oauth/callback.ts#L183

で、これがcallbackで使われている

https://github.com/nextauthjs/next-auth/blob/6d4cde4b02a799cda0c91c226a5f56fb7e9248b9/packages/core/src/lib/routes/callback.ts#L46-L112

結局 /callbackが呼び出されたときに、メールアドレスが変換されていそうということが分かった

oauthのコードではないが、email認証のコードコメントなんかを見る限り、next-authでは、case insensitiveでメールアドレスを扱うことを推奨していそうな感じがある

後で、ダメもとでissueを作ってみるか

discussionにとりあえず投げといた
https://github.com/nextauthjs/next-auth/discussions/6460