待验证50% 置信事实精确时间
使用自己的 Google Cloud 项目创建 OAuth 凭据，Client ID 和 Client Secret 由用户自己掌握，可随时撤销、轮换，并能精确控制哪些邮箱能通过测试。
1
来源数
50%
置信度
长期有效
时效性
2026/10/18
首次发现
来源
手把手教你用自定义Google OAuth连接Gmail与n8n
youtubeNeuralVarsity2026/10/18
涉及实体
相关事实
待验证Google 通常要求邮箱验证后才能登录，而某些自建或小众提供商的 OIDC 实现允许用户设置任意未验证邮箱，这种跨提供商的验证策略不一致为攻击者提供了可乘之机。75% 相似待验证OAuth 2.0规范将权限划分为不同scope，openid仅用于身份验证，email用于读取邮箱地址，https://mail.google.com/代表完整Gmail读写权限74% 相似待验证若要让任意用户使用 OAuth 应用，需将同意屏幕发布为「生产」状态；如果申请了 Gmail 这类敏感权限，还需通过 Google 的 OAuth 验证流程，包括隐私政策与域名验证。73% 相似待验证连接 Google 或 Microsoft 账户时需完成 OAuth 权限流程：用户在浏览器中登录并勾选允许的访问范围（如读取邮件但不含发送邮件），服务商返回可撤销的令牌给 OGAD。读取与发送是两套独立权限。70% 相似待验证防止 OAuth 邮箱自动关联漏洞的具体策略包括：要求邮箱已验证、分离注册与关联、使用 provider + provider_user_id 组合标识、二次确认以及审计与日志。70% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1061721API
curl https://kongchang.com/api/v1/knowledge/claims/1061721MCP
get_claim(id=1061721)