我正在开发一个实现OAuth2.0进行内部身份验证的应用程序。主要是用于永不过期的jwt access_token。 令牌中有一些有关用户信息的声明，例如用户ID。

现在有一个新要求，需要与通过OpenId连接的PingOne集成。

因此，现在该应用程序也应该启用其他令牌的访问权限-没有我的应用程序在其上建立逻辑的声明-也需要避免这种情况，即2个帐户属于同一个人，一个帐户是通过密码，使用SSO创建的密码。

处理这种情况的最佳常规做法是什么？

我目前的想法：

• 如果该用户已通过SSO认证，并且该用户不存在该电子邮件地址，则需要创建该电子邮件地址。

• 需要将PingOne令牌更改为另一个令牌，即旧样式的JWT令牌，该令牌中具有内部用户ID声明。因此，我需要一个端点，该端点接受PintOne令牌，并将其更改为当前令牌。

这是一种好的/安全的方法吗？

谢谢。