在我们的系统中，
在用户根据电子邮件地址创建帐户之前，我们要求他/她通过发送一封包含链接的邮件来验证是否拥有该地址，该链接包含要单击的令牌。
我看到很多类似的系统要求用户在验证电子邮件地址(在第一个输入表单中)之前使用密码登录。这样，一旦用户点击链接，服务器创建用户，用户就可以使用该密码登录
或者，我看到很多系统在用户点击链接后要求提供所需的密码。然而，我感觉这是使用较少。
我的问题是：哪种方法/流程更优越(安全性高于用户体验)，为什么？
我个人可以看到第一种方法至少有一个骗局，因为潜在的恶意非所有者可能会要求根据他人的电子邮件地址创建帐户。然后，如果该电子邮件地址的合法用户以某种方式点击了验证链接，就像许多人不假思索地做的那样，就会验证该地址，并使用非所有者提供的密码。
因此，我正在考虑使用要求用户在验证电子邮件地址后提供密码的方法。然而，我很好奇第二种选择是否还有其他问题。以及为什么你认为两者中哪一个最好。或者两者兼而有之，谁知道呢。
谢谢。
好的。我在建议一个替代方案，为什么？因为在这两种方法中，恶意用户或者如果你的系统一开始就有错误的电子邮件地址，都可以设置密码。我想在这里使用标准的多因素身份验证。为了简单起见，您可以使用双因素身份验证，一个因素是电子邮件，另一个因素则是只有您的系统和用户知道的其他信息。这可能是一个徽章或出生日期(dob并不那么神秘)或其他一些数据。应用双因素身份验证的一种非常有根据的方法是通过短信在用户预先录制的手机号码上发送PIN号码。有关更多详细信息，请访问谷歌双因素身份验证或多因素身份验证。