Security 当用户更改电子邮件地址时，我们是否应该要求用户确认？

我有一项服务需要一个活动电子邮件地址，用户可以在该地址接收通知。用户可以选择通过添加多个电子邮件地址来接收通知

我是否需要在激活新电子邮件地址之前确认它

我是否需要在更改电子邮件地址之前确认它

---

我在寻找最佳实践。我没有处理任何敏感或账单信息。

是的，最好这样做。想象。。如果他们提供的电子邮件地址不正确（拼写错误），或者不存在，或者更糟——其他人的？关于最后一个案例，我不是说你的服务是垃圾邮件，而是说他们希望收到的通知会被发送给其他人。我认为，即使通知中没有包含任何重要信息，这仍然是离题的——这将是一个错误的人收到针对其他人的通知的问题。：）

是的，最好这样做。想象。。如果他们提供的电子邮件地址不正确（拼写错误），或者不存在，或者更糟——其他人的？关于最后一个案例，我不是说你的服务是垃圾邮件，而是说他们希望收到的通知会被发送给其他人。我认为，即使通知中没有包含任何重要信息，这仍然是离题的——这将是一个错误的人收到针对其他人的通知的问题。：）

我建议您必须先确认新电子邮件，然后才能更改，这样您才能与用户保持联系。旧电子邮件可能存储在单独的数据库中，因此用户看不到，只有在用户确认新电子邮件后才能删除。

我建议您在更改新电子邮件之前必须确认它，以便您仍然与用户保持联系。旧电子邮件可能存储在单独的数据库中，因此用户不可见，只有在用户确认新电子邮件后才能删除。

是。这样做可以保护那些站点帐户受到威胁的用户，使其不会被人更改主电子邮件地址，并将用户完全锁定在其帐户之外

---

无论帐户是否保护敏感信息，这都是一种良好的做法，因为没有人愿意处理被攻击者锁定在帐户之外的问题。

是。这样做可以保护那些站点帐户受到威胁的用户，使其不会被人更改主电子邮件地址，并将用户完全锁定在其帐户之外

无论帐户是否保护敏感信息，这都是一种良好的做法，因为没有人愿意处理被攻击者锁定在帐户之外的问题