题目与适用场景
用户已登录账户，提交新邮箱地址。系统要在不打断正常使用的前提下确认新地址确实由用户控制，并降低被盗会话、邮箱枚举、重复点击和并发请求带来的账户接管风险。请说明数据模型、令牌生命周期、旧邮箱通知、会话策略、限流、审计和失败恢复。
回答前先约定：变更邮箱会影响登录、找回密码和安全通知，因此属于高风险账户操作；当前会话可能已被窃取；新旧邮箱都可能暂时不可用；同一账户同时只能有一个有效的变更请求。
面试官在考察什么
面试官看候选人是否把“已登录”与“已重新证明身份”区分开，是否要求对高风险操作重新认证或追加多因素验证。也会看候选人能否把新邮箱当作待验证值保存，而不是立即覆盖当前邮箱。
安全细节同样重要：一次性随机令牌、短有效期、服务端只保存令牌摘要、重放防护、旧邮箱通知、统一错误文案和审计事件。优秀回答还会说明会话撤销、恢复路径和并发更新的事务不变量。
30 秒回答框架
“我先要求当前会话重新认证；高风险账户再要求已有的多因素验证。服务器把新邮箱写入独立的 pending 记录，不立即替换当前邮箱。向新邮箱发送一次性随机令牌，数据库只保存令牌摘要、用途、过期时间和已使用状态。用户点击后，在事务中锁定账户，验证摘要、有效期和版本，成功才原子更新邮箱并消费请求。旧邮箱收到安全通知和可撤销窗口，所有会话按风险重新认证或撤销。接口使用统一响应、按账户和网络限流，并记录不含令牌的审计事件。”
分步深入解答
第一步：定义账户与待处理请求
账户保留 currentemail，变更请求单独存放 pendingemail_change：账户 ID、新邮箱规范化值、令牌摘要、用途、过期时间、状态、版本、创建时间和发起会话的风险上下文。新邮箱在验证前不能参与登录或找回密码。
第二步：重新认证并建立风险边界
登录态只证明会话仍然有效。开始流程时要求最近一次密码或已有多因素验证，必要时检查设备、IP 和异常行为。不要把“用户知道新邮箱”当作当前身份的证明。重新认证结果应有短时、单用途的 step-up 标记，不能成为长期万能令牌。
第三步：生成并发送一次性令牌
使用密码学安全随机数生成令牌，设置短 TTL 和单一用途。数据库只保存不可逆摘要，邮件链接携带原始令牌。邮件内容不泄露账户是否存在，重发操作保持节流，并提示用户检查旧邮箱和垃圾邮件。令牌被消费、过期或请求被替换后都不可再次使用。
第四步：验证并原子提交
点击链接后先做格式和速率检查，再在事务中锁定账户及待处理记录。常量时间比较摘要，检查状态、TTL、用途和版本。确认新邮箱当前未被另一个账户占用后，原子更新当前邮箱、消费请求并写入审计事件。重复点击返回幂等成功或安全的已处理结果，不重复发送副作用。
第五步：处理旧邮箱、会话与通知
旧邮箱收到“邮箱即将或已经变更”的安全通知，并可在短窗口内取消尚未完成的请求。成功后撤销长期刷新令牌，或要求所有会话重新认证；高风险场景可立即撤销全部会话。新邮箱不能作为唯一的即时恢复依据，恢复要遵守账户既有的身份保证等级。
第六步：控制枚举、滥用与竞态
请求接口和验证接口都使用统一响应时间与文案，不告诉攻击者某邮箱是否注册。按账户、目标邮箱、设备和网络组合限流，失败计数与告警写入独立指标。唯一约束、行锁或版本条件更新防止两个请求同时成功；邮箱占用检查必须和更新在同一事务边界内。
第七步：设计恢复和不可用情况
邮件延迟时允许在限额内重发并使旧令牌失效。用户失去旧邮箱时，不能仅凭一个未验证的新邮箱直接接管，应转入更强的账户恢复流程。投递失败、邮箱已被占用和策略拒绝使用不暴露内部细节，但审计记录安全原因码。
第八步：验证威胁模型与指标
测试会话被盗、令牌重放、过期令牌、并发点击、旧邮箱取消、刷新令牌撤销、跨账户邮箱占用和接口枚举。指标至少包括 step-up 失败率、令牌重放率、从确认到会话撤销的延迟、通知投递率和人工恢复量。演练应证明数据库泄露不直接暴露可用令牌。
取舍、边界与信息增益
短 TTL 能缩小令牌暴露窗口，却会增加邮件延迟导致的重发；可通过限额重发和明确状态平衡。立即撤销全部会话安全性高，但会带来多设备中断，因此可按账户风险分级。旧邮箱取消窗口提高可恢复性，却不能覆盖已经完成的高风险变更。
只保存令牌摘要保护数据库泄露，但应用日志、邮件链接、浏览器历史仍可能泄露原始值，所以链路都要脱敏并避免把令牌用于分析 URL。邮箱唯一性约束简化一致性，却必须在产品上明确一个邮箱是否允许绑定多个账户。
高质量示范回答
“我会把变更邮箱视为高风险状态机。用户先完成近期重新认证，必要时通过已有 MFA。新地址写入独立的待处理记录，当前邮箱仍用于登录和恢复。系统用 CSPRNG 生成一次性令牌，设置短 TTL，数据库只保存摘要和用途、版本、状态。
验证请求在事务中锁定账户和记录，检查摘要、过期时间、版本以及邮箱唯一约束，然后原子更新当前邮箱、消费请求并写审计事件。旧邮箱收到安全通知；未完成的请求可以在短窗口内取消。成功后撤销刷新令牌并让其他会话重新认证，具体程度由风险策略决定。
所有接口使用统一错误文案，按账户、目标地址和网络限流，日志只保留安全原因码。重放、并发点击、丢失旧邮箱和投递失败都有明确恢复路径。测试会测量令牌从签发到失效的时间、会话撤销延迟和枚举抗性。”
常见错误
- 提交表单就立即替换邮箱。 未验证的新地址会锁死用户，也可能被窃取会话利用。
- 只依赖已有登录态。 会话盗用者可以直接完成高风险操作。
- 把令牌明文存进数据库或日志。 数据库、日志和支持系统都会变成接管入口。
- 令牌可重复使用。 重放请求可能重复触发通知或覆盖地址。
- 验证接口暴露账户或邮箱存在性。 攻击者可借此枚举用户。
- 忽略邮箱唯一约束竞态。 两个账户或两个请求可能同时占用同一地址。
- 变更后保留所有长期会话。 攻击者可继续使用已盗用的刷新令牌。
- 丢失旧邮箱时直接信任新邮箱。 这绕过了账户恢复所需的身份保证。
追问与参考答案
为什么不先把新邮箱写入账户，再异步验证？
登录、找回密码和通知都可能立即使用该值，异步回滚会产生竞态和错误窗口。独立 pending 值让未验证输入无法影响身份边界。
令牌 TTL 应该多长？
没有脱离威胁模型的固定数字。根据邮件投递分布和风险目标选择短窗口，配合限次重发；关键是记录并验证从签发到失效的实测上限。
旧邮箱通知能否代替 MFA？
不能。通知和取消窗口是纵深防御与恢复信号，无法证明当前操作者拥有高保证身份。高风险账户仍应要求已有 MFA 或更强恢复流程。
两个标签页同时确认怎么办？
用记录版本、单次状态和事务锁保证只有一个请求能从 pending 转为 consumed。第二次请求返回幂等结果，不重复更新邮箱或撤销会话。
如何防止令牌出现在分析系统？
使用一次性路径并在边缘、应用、追踪和错误上报层过滤查询参数；消费后重定向到不含令牌的干净 URL，并禁止缓存敏感响应。