security - 自动关联社交登录有什么安全风险(Oauth2)

Question

我正在为我们的应用程序添加社交登录。我们使用电子邮件作为每个用户的主键，我计划自动将新帐户与同一电子邮件关联，但担心这样做会带来安全隐患。但是，我一直在寻找像我使用的那样执行此操作的其他应用程序，但它似乎不是一个常见的流程。

是否值得批准帐户关联？我打算实现 facebook 和 google。 Google 很直接，我试过 facebook，如果我提供的电子邮件未经验证，我将无法登录，此链接支持这一点。

Is it possible to check if an email is confirmed on Facebook?

Answer 1

在另一个网络上发现了类似的问题。该建议是相同的，它实际上取决于所涉及的数据以及您是否要降低风险。

https://security.stackexchange.com/questions/52568/social-login-authenticate-if-email-exists-or-create-new-user

在我们的实现中，我们决定仅在没有现有用户数据(新注册)时自动链接它。但是已经有一个，用户只是添加一个新的提供者来登录，然后我们明确地向原始帐户所有者请求许可。