Facebook SSO集成：邮箱验证及回调字段相关技术问询

问题1：邮箱可信度、自行验证必要性及额外邮箱处理 #

• 邮箱可信度：Facebook当前新注册账号强制要求邮箱验证，但数年前注册的老账户确实存在未验证邮箱的情况，不能直接默认返回的邮箱已验证。可通过Facebook Graph API查询该邮箱的verified字段确认状态。
• 自行验证必要性：行业做法随应用场景不同而区分：
  • 涉及金融、敏感隐私数据的高安全场景：建议自行发送验证邮件二次确认，避免老账户未验证邮箱引发后续问题（如无法接收密码重置、身份验证通知）。
  • 普通内容、社交类应用：可优先信任Facebook的验证结果，但需预留兜底机制——比如后续用户无法接收系统邮件时，触发二次验证流程。
• 额外邮箱的处理：Facebook SSO回调仅返回用户设置的主邮箱，额外添加的邮箱不会出现在回调数据中，也无法直接用于登录，除非用户将其设为新的主邮箱。

问题2：手机号注册后添加邮箱的回调返回内容 #

若用户先以手机号注册Facebook，之后添加邮箱并完成Facebook端的验证（若有要求），只要你的应用在授权时申请了email和user_phone_number权限，且用户同意授权，回调中会同时返回邮箱和手机号。如果用户仅授权其中一项权限，则只会返回对应信息。另外，若用户添加的邮箱未在Facebook端完成验证，返回的邮箱字段会带有未验证标记，需通过Graph API进一步确认状态。

行业通用做法总结 #

• 高安全要求场景（金融、医疗等）：必须自行发送验证邮件确认，同时结合Facebook返回的验证状态做双重校验。
• 普通场景：可信任Facebook的验证结果，但要做好异常处理（如邮箱无法接收邮件时引导用户重新验证）。

内容的提问来源于stack exchange，提问作者Cartrogen