用户迁移：导入密码与 MFA

https://apx.didit.me/auth/v2/organizations/{org_id}/applications/{application_id}/authentication/

​

两种导入方式

​

导入文件

​

1. 上传

curl --fail-with-body "${MANAGEMENT_BASE}import-jobs/" \
  -H "Authorization: Bearer $CONSOLE_ACCESS_TOKEN" \
  -F file=@users.csv \
  -F passwords=import \
  -F keep_social=true \
  -F keep_verified=true \
  -F keep_mfa=true \
  -F keep_ids=true

​

2. 检查试运行结果

​

3. 开始导入

• 人员按每批 1,000 人导入。每批单独提交。
• 每个应用同一时间只能运行一个导入（否则返回 import_running）。
• 中断的导入会从最后一个已提交的批次之后继续。
• 已导入的人员会被跳过，因此可以对同一文件再次运行导入。
• 发起导入的人员会在导入完成或停止时收到一封邮件。

​

分批导入

{
  "rows": [
    {
      "email": "user@example.com",
      "external_id": "user-1234",
      "email_verified": true,
      "display_name": "Example User",
      "password_hash": "$2b$12$...",
      "social": [{ "provider": "google", "subject": "1234567890" }],
      "organizations": [{ "slug": "acme", "name": "Acme", "role": "admin" }]
    }
  ],
  "dry_run": true,
  "idempotency_key": "migration-batch-0001"
}

• 试运行返回 200，包含结果，且不写入任何数据。
• 设置 dry_run: false 时，导入成功返回 201。只要某个批次存在任何错误，就返回 400，且不导入任何人。
• 使用相同密钥重复已提交的请求，会返回其记录的结果。使用相同密钥但内容不同，则返回 400 {"idempotency_key": "different_payload"}。
• Firebase 参数放在 firebase 对象中：{signer_key, salt_separator, rounds, mem_cost}。
• GET imports/ 列出已提交的批次。

​

文件格式

​

JSON

​

CSV

email,external_id,email_verified,password_hash,google_id,organization_slug,organization_role
user@example.com,user-1234,true,$2b$12$...,1234567890,acme,admin

​

重复数据与已有账户

• 邮箱相同的行会合并为一个人。完全相同的行被计为重复项。包含更多链接、组织或身份验证器的行会被合并。
• 同一人的两个不同密码哈希、身份验证器密钥或组织角色会报错。两个人声明同一 external_id 或同一提供方的 subject，同样会报错。
• 如果该邮箱的账户已存在，且是之前的导入创建的，则跳过该人员（already_imported）。如果该人员是自行注册的，则报 identity_conflict 错误。导入绝不会修改已有账户。

​

密码

​

没有可用密码的用户

​

社交账号关联、验证器应用和组织

• 社交账号关联会保留给您的应用已配置的提供方，并沿用其当前的客户端 ID。之后再次登录时无需邮箱验证。Google 和 GitHub 的 subject 是全局唯一的。Apple 的 subject 按开发者团队区分，Microsoft 的 subject 按应用注册区分，因此只有当您的旧平台使用相同的团队或应用注册时，这些关联才会匹配。未配置的提供方的关联会计入 social_unavailable，且不会被导入。
• 验证器应用（TOTP 密钥：SHA-1，6 位数字，30 秒）会加密存储。导入的用户必须将其作为第二因素使用。他们不会获得恢复码。
• 尚不存在的组织会根据其 slug 创建。
• 通行密钥无法导入。它们属于您的旧登录域，因此用户需要在使用 Didit 登录后添加新的通行密钥。

​

结果

​

切换前的检查

• 使用您导入的每种密码格式登录，
• 没有可用哈希值的用户收到设置新密码的邮件，
• 导入用户的社交登录和验证器验证码，
• 对同一文件运行两次导入。