next-auth + BoxyHQSAMLProvider で属性マッピングしてないのに id や email が取れることがある

というお話。 なおどちらも既に名前が変わっており、 next-auth は Auth.js だし、 BoxyHQ SAML は Ory Polis なのですが、自分が使ってるのはこの名前になる前のバージョンなので、一旦この記事ではタイトルどおりの呼び方とさせてください。