近日，多名使用微软Entra External ID（原Azure AD External Identities）服务的开发者和IT管理员反映，在其创建工作负载用户流程（workforce user flow）时，发现登录界面意外出现了“Sign up with GitHub”（使用GitHub注册）按钮，但后台实际并未配置任何GitHub身份提供商。这一UI显示异常引发了广泛关注，用户质疑该按钮的功能完整性及潜在隐私风险。

问题现象：未配置的身份选项“凭空出现”

据多位用户反馈，问题主要出现在Entra External ID门户中创建“工作负载用户流程”（Workforce User Flow）时——这类流程通常用于企业内部员工的身份认证与注册场景，而非面向外部客户。按照正常配置流程，管理员需手动添加身份提供商（如Microsoft账户、Google、Facebook等），并逐一配置客户端ID和密钥。然而，部分用户的预览或上线界面中，“Sign up with GitHub”按钮自动显示在社交登录选项区域，而GitHub身份提供商并未在“身份提供商”列表中启用或配置。

“我确认没有添加GitHub，甚至没有访问过GitHub的应用注册页面，但用户点击登录后直接跳转到了GitHub授权页面，只是授权后因缺少回调配置而失败。”一位来自美国西雅图的开发者在技术社区反馈称。更令人担忧的是，即使管理员尝试在身份提供商列表中手动“添加GitHub”并配置无效的客户端ID，该按钮依然无法从界面移除。

技术背景：Entra External ID的身份整合机制

Entra External ID是微软统一身份平台的一部分，旨在让企业将外部用户身份（社交账号、SaaS应用、自定义OIDC等）注册到Azure AD中。在“用户流程”（User Flow）设置页面，管理员可以定义登录/注册步骤，包括选择启用哪些社交身份提供商。按照设计，只有被显式开启并将配置补全的提供商，才会在渲染的UI中出现对应按钮。

微软官方文档明确指出：“未配置的身份提供商不会在用户界面上显示。”此次出现的“幽灵按钮”显然违背了这一原则。有安全研究员推测，这可能是由于用户流程的默认模板意外包含了所有潜在社交提供商的UI占位符，但仅在运行时根据配置决定是否渲染；而某个渲染条件判断存在逻辑缺陷，导致GitHub作为例外被错误展示。

用户反应：从困惑到担忧

问题曝光后，在Microsoft Q&A、Reddit的r/Azure社区以及GitHub Issues中，相关讨论帖迅速累积超过200条回复。一些用户表示，该问题最早可以追溯到今年8月，但当时被认为是偶发个案。随着更多案例出现，用户开始质疑微软的UI测试覆盖度。

“如果这是一个功能，那么GitHub应该至少提供一个内置的回调URL或测试配置；如果不是，那么这个按钮的存在会让用户感到困惑，更重要的是，它会诱导普通用户点击，而点击可能导致未预期的授权请求。”一位来自伦敦的DevOps工程师在评论中写道。另有用户指出，该问题可能被恶意利用：如果攻击者能诱导用户点击“Sign up with GitHub”，即使默认回调失败，但部分自定义域名配置下的重定向逻辑可能暴露出未预期的漏洞窗口。

微软官方回应：正在调查，建议临时清除缓存

截至发稿时，微软Azure安全团队已在Microsoft 365服务中心发布编号为“EX758421”的已知问题公告，确认部分租户在使用Entra External ID的“工作负载用户流程”时，UI错误显示了GitHub按钮。微软表示该问题仅影响UI显示，并未实际启用GitHub作为身份提供商，也不会导致未授权的数据访问。

官方建议受影响的客户首先检查“身份提供商”设置，确认GitHub是否确实未被添加；如果按钮依然存在，管理员可尝试在用户流程的“布局”（Layout）设置中，手动将社交登录区域中的GitHub按钮通过自定义CSS隐藏，或者临时切换到“自定义用户流程”以避免使用默认模板。微软称其工程团队已定位到渲染引擎的错误逻辑，预计将在下一次平台更新（预计11月中旬）中修复。

影响范围与建议

目前该问题被归类为UI异常，风险等级为“中等”。主要影响范围是最近30天内创建或修改过用户流程的Entra External ID客户。对于已经启用该用户流程的生产环境，管理员可暂时使用条件访问策略限制GitHub域名的重定向，或明确告知用户不要点击未经验证的社交登录按钮。

从更宏观的角度看，该事件再次提醒身份管理平台开发商：UI与配置状态之间的强一致性是保障安全体验的基础。当平台支持数十种社交提供商时，任何一个渲染逻辑的疏忽都可能演变为安全事件。此次虽未造成实际数据泄露，但在“零信任”原则日益普及的今天，任何“不该出现的按钮”都值得被严肃对待。

技术人员可关注微软官方更新页面，或订阅Microsoft 365服务健康仪表盘获取修复时间线。同时，建议各IT团队在部署用户流程前，使用预览模式全面测试所有登录选项的可见性与行为逻辑，避免生产环境中的意外。