WSO2 IS 7.1.0：验证前启用邮箱更正的安全方案咨询

核心思路 #

围绕用户自主操作+安全身份校验，对原有JIT流程和登录拦截逻辑进行改造，让用户在锁定状态下能自行修正邮箱并触发验证，全程无需管理员介入。

具体实现方案 #

1. 改造身份验证流程，新增锁定状态下的邮箱更正入口

• 调整登录拦截逻辑：当用户尝试登录时，若检测到账户处于「邮箱未验证锁定」状态，不再直接返回登录失败，而是跳转到专属邮箱更正页面。
• 身份校验保障：跳转前通过会话中留存的联邦IDP唯一标识（如sub字段）校验用户身份，确保只有账户本人能进入更正页面。
• 页面功能限制：更正页面仅开放邮箱输入框，提交后自动更新用户存储中的邮箱值，同时触发验证邮件发送，并解除账户锁定（或直接进入验证等待状态）。

2. 优化原JIT流程的邮箱验证触发逻辑

• 取消「补邮箱即锁账户」的强绑定：修改missingClaim handler的逻辑，用户补充邮箱后，不立即锁定账户，而是标记「邮箱待验证」状态，直接发送验证链接。
• 登录时的状态引导：后续用户登录时，若检测到「邮箱待验证」状态，直接提示验证需求，并提供「重新发送验证邮件」和「修改邮箱」两个选项，无需等待账户锁定。

3. 自定义事件处理器实现自动触发验证

• 编写自定义事件处理器，监听「用户邮箱更新」事件：当用户在更正页面提交新邮箱后，处理器自动调用WSO2 IS的邮件发送API，触发验证邮件，无需人工干预。
• 身份二次校验（可选）：若担心账户安全，可在更正邮箱前要求用户再次通过联邦IDP登录确认身份，彻底避免冒用风险。

4. 定制前端交互页面

• 登录失败页定制：当用户因「邮箱未验证」被拦截时，页面显示明确提示，并直接放置「修改邮箱」和「重发验证邮件」按钮，减少跳转步骤。
• 更正页反馈：邮箱提交成功后，即时显示「已更新邮箱，验证邮件已发送至新地址」的提示，引导用户查收邮件。

关键注意事项 #

• 安全优先：所有邮箱修改操作必须绑定用户的联邦IDP身份标识，禁止无校验的邮箱修改入口。
• 状态清晰：在用户存储中新增自定义属性（如email_verification_status），记录「未补充」「待验证」「已验证」三种状态，方便流程判断。
• 流程简化：尽量减少用户操作环节，避免复杂的跳转和验证步骤，提升用户体验。

内容的提问来源于stack exchange，提问作者Kakarot