使用Verified Autofill提升用户邮箱验证体验
Email Verification Protocol
在当今的互联网环境中，验证用户的电子邮件地址已经成为一项常见的操作。此过程不仅用于确保用户提供了有效的电子邮件地址，同时也是在用户返回应用程序时进行身份验证的一种有效手段。然而，传统的验证方式往往存在不少问题。本项目提出的电子邮件验证协议，旨在通过无需发送电子邮件的方式，在用户不离开当前网页的情况下快速获取经过验证的电子邮件地址。接下来让我们深入探讨这一协议的具体实现和应用场景。
1. 传统电子邮件验证方式的局限
目前，电子邮件验证通常有两种方式：
- 发送链接或验证码：需要用户切换到其邮箱，等待邮件到达后再进行验证。这一过程极为繁琐，常常导致用户流失。
- 社交登录：用户通过苹果或谷歌等社交登录提供已验证的电子邮件地址。这一方式需要应用预先与每个社交提供商建立关系，同时用户必须使用这些服务并愿意分享个人资料信息。
这些传统方法不仅降低了用户体验，还可能存在隐私泄漏的风险。
2. 邮件验证协议的优势
本协议通过委派邮件域名的验证权限给具有身份验证cookie的发行者，全面简化了验证过程。用户在输入电子邮件地址后，浏览器会自动调用发行者，并传递身份验证cookie。发行者则返回一个令牌，浏览器进行验证后更新该信息，最终提供给Web应用。这一过程使得用户隐私得以增强，因为发行者在请求中并不知晓具体的Web应用。
3. 核心概念
-
SD-JWT+KB令牌：通过选择性披露的JSON Web令牌（SD-JWT）和关键绑定（KB）技术相结合，保证了令牌的有效性与安全性。SD-JWT+KB的名称表示此令牌由两个部分组成，确保了发放和展示的分离。
-
发行者：负责验证用户对电子邮件地址的控制权。邮箱域的DNS记录会将电子邮件验证委托给指定的发行者。
4. 用户体验
用户在需要经过验证的电子邮件输入框中，可以直接选择浏览器提供的建议邮件地址，而无需切换到邮箱。整个过程简化了用户操作，提升了体验。
5. 处理步骤
以下是具体的处理步骤：
- 电子邮件请求：用户访问需要输入电子邮件地址的网站。RP（Relying Party）服务器生成一个唯一的Nonce。
- 电子邮件选择：用户聚焦于邮箱输入框，浏览器展示用户之前输入的邮箱地址。
- 令牌请求：浏览器根据用户的输入进行DNS TXT记录查询，获取发行者信息。
- 令牌发放：发行者验证请求并生成SD-JWT。
- 令牌展示：浏览器验证SD-JWT后，向RP提供SD-JWT+KB。
- 令牌验证：RP服务器验证SD-JWT+KB的有效性，确认电子邮件的真实性。
6. 安全性与隐私考虑
这一协议设计时充分考虑了用户的隐私租，确保邮件域运营商无法获知用户所用应用的信息。同时，RP应用也不会因用户每次验证而获得其他不必要的信息。
应用案例和实用场景
此次协议的应用场景非常广泛。无论是电商网站、在线教育平台，还是社交媒体应用，都可以通过实施这一协议来提升用户的注册体验，降低用户流失率。
值得关注的同类项目
与邮件验证协议相似的项目包括：
- OAuth 2.0：广泛应用于各类网站的社交登录，简化了用户注册与登录流程。
- OpenID Connect：在OAuth 2.0基础上扩展，提供用户身份验证及信息获取。
- WebAuthn：以密码为基础的身份验证技术，允许用户使用更安全的方法访问Web应用。
这些项目都在不同的方向上致力于提升用户体验和信息安全，但功能和实现方式各有不同，适合于各种在线服务的需求。