我可以在OAuth响应中使用电子邮件来链接到用户帐户吗？

Question

我计划允许用户使用oAuth身份验证登录我的网站。我怀疑是否可以完全依赖从响应中返回的电子邮件将用户链接到我网站中的实际用户帐户。这可能有任何安全问题吗？

Answer 1

最直接的是，您必须绝对信任oAuth提供商。它可能骗你并接管你的本地用户帐户。

例如，如果oAuth提供商未验证用户电子邮件，则有人可能会在其中注册其他人的电子邮件，然后登录您的网站接管本地用户帐户。

还要确保您使用SSL。