待验证50% 置信事实精确时间
在 OIDC 中，email 只是提供商声明的、可能未经核实的属性，email_verified 才表示提供商已确认该邮箱归当前用户控制，而 sub 或 provider_user_id 才是稳定且难以伪造的身份标识。
1
来源数
50%
置信度
长期有效
时效性
2026/10/12
首次发现
来源
涉及实体
相关事实
待验证防止 OAuth 邮箱自动关联漏洞的具体策略包括：要求邮箱已验证、分离注册与关联、使用 provider + provider_user_id 组合标识、二次确认以及审计与日志。76% 相似待验证Google 通常要求邮箱验证后才能登录，而某些自建或小众提供商的 OIDC 实现允许用户设置任意未验证邮箱，这种跨提供商的验证策略不一致为攻击者提供了可乘之机。76% 相似待验证虽然 Google 等一些主流 OAuth 提供商返回 email_verified 字段，但并非所有提供商都强制邮箱验证，开发者需要根据自身使用的提供商特性制定策略。72% 相似待验证发送邮件本身不是幂等操作，只有当邮件服务商接受请求并返回 message id 后才能确认邮件已发出71% 相似待验证域名被标记为邮件服务商后，用户可能面临额外身份验证、发送配额下调、部分自动化功能被禁用，甚至邮件更易被判定为垃圾邮件70% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1008045API
curl https://kongchang.com/api/v1/knowledge/claims/1008045MCP
get_claim(id=1008045)