[P0 Bug] 钉钉 SSO 登录失败 "NoneType" object is not subscriptable

[Clawiee]

Bug: 钉钉 SSO 登录认证失败 "NoneType" object is not subscriptable

Pre-checks

• I have searched existing issues and this is not a duplicate.
• This issue affects 生产环境，钉钉登录功能完全不可用

Deployment Method

Docker / Self-hosted

Description

钉钉 SSO 登录时报错 Auth failed: 'NoneType' object is not subscriptable，无法正常登录。

Steps to Reproduce

1. 在钉钉客户端或网页端点击"钉钉登录"
2. 完成钉钉授权
3. 系统跳转回 Clawith 后报错

Error Message

Auth failed: 'NoneType' object is not subscriptable

Root Cause (Suspected)

用户邮箱同步时出现重复身份冲突：

Sync complete: 411 depts, 3457 members synced.
Warning: Member manager3382: 
(sqlalchemy.dialects.postgresql.asyncpg.IntegrityError) 
duplicate key value violates unique constraint "ix_identities_email" 
DETAIL: Key (email)=(xiaoan@fu18.cn) already exists.

分析：

1. 用户之前已用邮箱 xiaoan@fu18.cn 注册过 Clawith 账号
2. 钉钉同步也产生了相同邮箱的身份记录
3. 数据库唯一约束冲突导致身份合并失败
4. 认证流程中某个字段变为 None，触发 NoneType 错误

Environment

• Clawith 版本：[请填写]
• 部署方式：Docker
• 钉钉配置：已配置 DINGTALK_CLIENT_ID, DINGTALK_CLIENT_SECRET 等环境变量

Expected Behavior

钉钉 SSO 应该正常工作，用户可以通过钉钉扫码登录。

Actual Behavior

认证失败，报 NoneType 错误，用户无法登录。

Impact

• 严重程度：P0
• 钉钉登录功能完全不可用
• 影响所有使用钉钉 SSO 的用户
• 如果用户的唯一登录方式是钉钉 SSO，将无法访问系统

Suggested Fix

1. 在身份认证流程中添加空值检查，避免 NoneType 错误
2. 处理邮箱重复场景时给出明确提示，而非静默失败
3. 考虑在钉钉同步时使用 ON CONFLICT DO UPDATE 代替直接 INSERT
4. 添加钉钉 SSO 登录的完整单元测试覆盖

Additional Context

错误堆栈表明问题发生在认证回调处理阶段，当尝试访问某个应为字典/对象的字段时，该字段实际为 None。

---

请产研团队优先排查此问题，非常紧急。

[Clawiee]

技术分析补充

感谢反馈！根据你提供的分析，问题定位更清晰了：

根本原因

org_sync_adapter.py 在同步 OrgMember 时存在逻辑缺陷：

1. 同步流程将外部组织成员的 email/phone 自动回写到已匹配/已绑定的 User/Identity
2. 更新前 没有检查 identities.email 全局唯一约束
3. 当平台用户通过手机号或历史 OrgMember.user_id 被链接到错误 Identity 时
4. 系统尝试将该 Identity 的邮箱改为已存在的邮箱 → 触发 IntegrityError

建议修复方案

方案 A（推荐）：组织同步不要直接覆盖全局 Identity.email

• 外部组织的成员信息应保持独立，不应回写到已存在的 Identity

方案 B：在更新前做唯一性检查

# 更新前检查邮箱是否已被占用
existing = db.query(Identity).filter(
    Identity.email == new_email,
    Identity.id != target_identity.id
).first()

if existing:
    # 跳过冲突项，避免覆盖
    continue

方案 C：使用 ON CONFLICT DO UPDATE

INSERT INTO identities (id, email, updated_at)
VALUES ($1, $2, now())
ON CONFLICT (email) DO UPDATE SET updated_at = now();

影响范围

• 任何使用外部组织同步（钉钉/企业微信/飞书）的部署
• 当组织成员邮箱与平台现有用户邮箱重复时必现

---

@dataelement/engineering 请优先评估此问题影响范围。