authentication - 使用 OAuth 2.0 和 Userinfo API 与 Google 进行身份验证，验证电子邮件意味着什么？

Question

我开始使用 OAuth 2.0 和 Google 进行身份验证。我正在使用 Google 的 Using OAuth 2.0 for Login文档，一切都很好。我有一个关于 verified_email 的问题 field 。它是这样记录的:

verified_email : A flag that indicates whether or not Google has been able to verify the email address.

但这究竟是什么意思？在以这种方式进行身份验证时确保电子邮件经过验证是否被认为是最佳实践，或者我们已经用正确的电子邮件证明回复了足够的回复，用户是所述电子邮件帐户的所有者这一事实是否被认为是最佳实践？

Answer 1

无论邮件是否由谷歌托管，这意味着不同的事情。

- 如果用户有一个电子邮件地址@gmail.com 或@hosted-example.com，其中hosted-example.com 是一个使用谷歌应用程序的域(特别是托管的Gmail)，那么谷歌帐户也会实现访问控制/登录电子邮件帐户。在这种情况下，verified_email 位始终为“真”，但实际上这种保证比“Google 已能够验证电子邮件地址”更强。

另一方面，如果电子邮件地址位于非 Google 托管的帐户上，例如@yahoo.com，这意味着 Google 能够在某个时间点对其进行验证(通常是通过向用户发送电子邮件并获得收据确认)。信息可能不是最新的:用户可能失去了对该帐户的控制。因此，在这种情况下，该信息可能对垃圾邮件信号有用，但可能不应该专门用于某些更关键的操作，例如帐户恢复。