假设您使用 oauth2 和几个 oauth 提供程序保护您的应用程序。

现在想象有人使用提供商 A 和电子邮件 bob@example.com 登录。

下一次，有人使用提供商 B 和相同的电子邮件 bob@xample.com 登录。

两家提供商都声明电子邮件地址已经过验证，并且都是大公司（无法指定您自己的提供商或类似的东西）。

您是否应该将两个登录名映射到同一个帐户？有哪些风险？

我已经看到的风险是攻击面越来越大：如果我想黑掉 Bob 的帐户，我可以尝试黑掉提供商 A或B。但好处是对 Bob 来说更方便，因为他不必这样做记住他使用的提供商...