有没有可能查看一封邮件在Facebook上是否被确认？

Question

这是2013年12月16日通过https://www.Facebook.com/whitehat/report/向Facebook报告的，而Facebook在12月17日回应称，该漏洞早已修复。

我已经用我的Facebook帐户重新测试了（我仍然没有验证电子邮件地址），当使用Grap API资源管理器工具时，不可能使用Graph API或使用FQL查询获得该帐户的电子邮件地址。

结论：使用Graph API或FQL查询从Facebook获得的电子邮件地址是经过验证的电子邮件。如果一个帐户没有验证它的电子邮件，但它不可能得到它。

我正在用SSO制作一个web应用程序，它提供用户可以登录谷歌或Facebook。我希望拥有这两种类型帐户的用户在我的系统中显示为同一个用户，而不管他们用哪个身份登录。为了实现这一点，我正在考虑使用电子邮件地址作为标识符，以了解我是否应该创建一个新帐户，或者用户是否已经存在。

为了不引入任何安全问题，我必须知道电子邮件地址是经过验证的，实际上属于用户。对于Google来说，userinfo API可以告诉我电子邮件是否被验证，所以这里没有问题。但我在Facebook Graph API中找不到类似的东西。

有没有可能知道一个电子邮件地址在Facebook上被确认了？

我知道有一个verified字段，但它只告诉帐户是否被验证，而不告诉电子邮件地址。

起初，您似乎只能对电子邮件地址已经确认的帐户使用Graph API。如果地址没有被确认，我只是得到一个错误告诉我，我必须先确认电子邮件地址，然后才能登录到任何第三方站点。

然而，这似乎并不是所有的帐户都是正确的。在某些情况下，即使你没有确认的电子邮件地址，也可以访问Facebook的所有部分。其中的一个例子是使用@myopera.com邮件地址注册。

当您使用@myopera.com电子邮件地址注册Facebook时，您一提交注册表单就会收到您的帐户被临时锁定的消息。要继续，您需要提供您的电话号码来验证您的帐户，并“保持Facebook的安全和没有垃圾邮件”（抱歉截图中的瑞典人，这是在我进入Facebook并将语言改为英语之前）：

当你提供了你的电话号码，你就已经登录了，Facebook不会再唠叨你必须验证你的电子邮件地址。

唯一可以看到您的电子邮件地址尚未验证的地方是在设置页面：

在验证电子邮件地址可用之前,通常无法访问移动设置,并列出注册期间输入的电话号码：

除此之外，还可以使用未经确认的电子邮件地址登录第三方站点：

当我与该用户连接到graph api时，我可以获得未确认的电子邮件地址，verified字段按预期返回true，因为我已经通过添加电话号码验证了该帐户。所以显然我不能相信我从Facebook得到的电子邮件地址真的属于拥有Facebook帐户的用户。

是否有其他方法知道电子邮件地址是否已验证，或者如果我想使用它来识别用户，我必须亲自验证它吗？

Answer 1

我在找Facebook关于这个问题的官方声明，最后找到了:https://developers.Facebook.com/docs/facebook-login/multiple-provider#postfb1，它明确表示开发者不应该依赖电子邮件地址被验证的事实。