OpenID プロトコルの電子メール アドレスが検証されていません。
以下のケースを考えてみましょう。
Gmail アカウントを使用して SO アカウントを作成します。メールアドレスは abc@gmail.com です。
現在、別の男が abc@gmail.com を使用している OpenID プロバイダーを偽造する方法を持っており、このプロバイダーを使用して SO にログインしています。
これで、SO はこれら 2 つのログイン方法をリンクし、その男は私の SO アカウントに完全にアクセスできるようになります。
では、実際には、上記のハッキングのリスクを最小限に抑えるにはどうすればよいでしょうか?