security - 我们应该要求用户在更改电子邮件地址时确认吗？

Question

我有一项服务需要用户可以接收通知的活动电子邮件地址。用户可以选择通过添加多个电子邮件地址来接收通知。

1. 我是否需要在激活之前确认新的电子邮件地址？
2. 我是否需要在更改之前确认电子邮件地址？

我正在寻找最佳实践。我不处理任何敏感或计费信息。

Answer 1

是的，最好这样做。想象一下.. 如果他们提供的电子邮件地址不正确（拼写错误）或不存在或更糟——其他人的电子邮件地址怎么办？关于最后一种情况，我并不是说您的服务是垃圾邮件，而只是说他们希望收到的通知将发送给其他人。我认为即使通知中没有包含重要信息，这仍然是题外话——这将是错误的人接收到其他人的通知的问题。:)

Answer 2

我建议您必须先确认新电子邮件，然后才能更改它，以便您仍然与用户保持联系。旧电子邮件可能存储在单独的数据库中，因此对用户不可见，只有在他/她确认新电子邮件后才会删除。

Answer 3

是的。这样做可以保护网站帐户受到威胁的用户不会让某人更改主电子邮件地址并完全锁定用户的帐户。

无论帐户是否保护敏感信息，这都是一种很好的做法，因为没有人愿意处理被攻击者锁定在帐户之外的问题。