跨九品牌身份平台的双向认证账户链接

这种灵活性带来了身份认同问题。当客户用新的苹果或谷歌身份登录，且其邮箱已属于现有账户时，平台必须决定下一步该怎么办。仅仅通过邮件匹配自动关联两者是不安全的：匹配的邮箱地址暗示了关系，但并不能证明登录者实际上控制了该收件箱。平台需要一种方法，将兼容的苹果和谷歌身份连接到一个共享账户，而无需单独授予邮件匹配访问权限，并且要在九个品牌中保持一致，包括那些棘手的情况：苹果的私人中继地址、启用密码的账户、高风险登录和服务提供商故障。

这些限制是具体的。链接必须双向且不依赖顺序：先谷歌再苹果，或者苹果先后谷歌，必须先访问同一个共享账户。苹果的“隐藏我的邮件”必须单独处理，因为与客户真实邮箱不匹配的私密中继地址不能无声地关联到该账户。验证必须重复使用已被信任用于高风险认证的代码挑战机制，因此将继承的已被验证的控制措施连接起来，而非发明新的控制。风险必须调节摩擦：低风险登录应保持无摩擦，而中等、高风险和未确定风险则需通过一次性登录（OTP）。反复失败必须通过一个在账户层面、涵盖每个品牌的封锁策略来控制，而非单个品牌。而且供应商的故障必须确保万无一失，绝不能让客户拥有部分或重复的账户。

同一经过验证的路径覆盖了两个连接方向。如果客户在谷歌创建账户后，使用同一共享邮箱选择“继续与苹果”，系统会检测到现有账户，发送验证码到邮箱，并在成功验证后关联苹果。相反，苹果先用“共享我的邮箱”，谷歌先用，通过同样的挑战解决了相同的共享账户。绑定后，客户可以通过苹果、谷歌或任何配置的邮箱和密码登录，并登录到同一个账户。

苹果的“隐藏我的邮件”项目则是有意保持独立的路线。当私有中继地址与客户未披露的个人邮箱不匹配时，身份无法进行同一邮件链接。平台没有将中继连接到无关账户，而是显示了有限访问说明，并创建了一个独立的中继邮箱账户。除了首次绑定，同一账户还有其生命周期：客户可以在社交账户设置密码，更改主邮箱（这会导致之前的社交服务商被取消绑定并需要重新验证），而且每次返回登录都会经过风险评估，然后才发放会话。

从那里，流程分支成了明确界限的结果。符合条件的邮件匹配者会向现有账户的邮箱发送关联码;验证成功时，服务商被连接，失败时尝试被拒绝并记录。一封与苹果中继邮件不匹配的邮件被路由到一个有限访问解释和一个独立的中继邮箱账户。一旦确定为共享跨品牌账户，账户状态会被检查：被封锁账户显示为封锁，活跃账户被划分为风险类别。Low Risk 直接发放了经过认证的会话;中、高风险和未确定风险发送了认证一次性密码，且多次失败的挑战，最高达到固定阈值，导致九个品牌的共享账户被封锁。账户本身暴露了密码设置和邮箱更改，比如更改主邮箱会导致之前的社交服务商被取消绑定，需要重新验证。服务提供商服务失败不会产生部分状态：它们返回一个安全错误并重试，该错误路由回同一个编排器，因此苹果或谷歌呼叫失败时不会生成半链接或重复账户。该链接边界结合了三项检查：验证后的提供者响应、兼容的同一邮件匹配和成功的邮件代码挑战，失败的代码提交则通过与风险一次性密码相同的挑战控制和阻断策略。