待验证50% 置信事实精确时间
在 OAuth 邮箱自动关联的场景中，攻击者无需破解密码、无需钓鱼，只需在某个允许未验证邮箱的提供商处注册一个与受害者相同的邮箱地址，发起一次 OAuth 登录即可完成账号接管，且因为是通过合法 OAuth 流程登录，日志中往往看不出异常。
1
来源数
50%
置信度
长期有效
时效性
2026/10/12
首次发现
来源
涉及实体
相关事实
待验证防止 OAuth 邮箱自动关联漏洞的具体策略包括：要求邮箱已验证、分离注册与关联、使用 provider + provider_user_id 组合标识、二次确认以及审计与日志。78% 相似待验证OAuth 2.0规范将权限划分为不同scope，openid仅用于身份验证，email用于读取邮箱地址，https://mail.google.com/代表完整Gmail读写权限73% 相似待验证在 OIDC 中，email 只是提供商声明的、可能未经核实的属性，email_verified 才表示提供商已确认该邮箱归当前用户控制，而 sub 或 provider_user_id 才是稳定且难以伪造的身份标识。69% 相似待验证恶意站点可利用伪造的OAuth授权请求，在真实页面上诱导用户授权，从而无需获取密码即可控制账号68% 相似待验证Google 通常要求邮箱验证后才能登录，而某些自建或小众提供商的 OIDC 实现允许用户设置任意未验证邮箱，这种跨提供商的验证策略不一致为攻击者提供了可乘之机。68% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1008049API
curl https://kongchang.com/api/v1/knowledge/claims/1008049MCP
get_claim(id=1008049)