待验证50% 置信事实精确时间
Google 通常要求邮箱验证后才能登录，而某些自建或小众提供商的 OIDC 实现允许用户设置任意未验证邮箱，这种跨提供商的验证策略不一致为攻击者提供了可乘之机。
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/12
首次发现
有效期至：2027/1/10
来源
涉及实体
相关事实
待验证虽然 Google 等一些主流 OAuth 提供商返回 email_verified 字段，但并非所有提供商都强制邮箱验证，开发者需要根据自身使用的提供商特性制定策略。79% 相似待验证在 OIDC 中，email 只是提供商声明的、可能未经核实的属性，email_verified 才表示提供商已确认该邮箱归当前用户控制，而 sub 或 provider_user_id 才是稳定且难以伪造的身份标识。76% 相似待验证许多在线服务在用户注册时并不强制执行邮箱验证流程，导致用户可以用不属于自己的邮箱地址完成注册75% 相似待验证使用临时邮箱批量注册以规避付费限制可能违反 Google 服务条款，存在账号被封禁的风险74% 相似待验证域名被标记为邮件服务商后，用户可能面临额外身份验证、发送配额下调、部分自动化功能被禁用，甚至邮件更易被判定为垃圾邮件74% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1008047API
curl https://kongchang.com/api/v1/knowledge/claims/1008047MCP
get_claim(id=1008047)