邮箱账号与登录邮件

登录链接、验证码和换绑邮件都会去你的邮箱；邮箱收到页面的“已发送”不等于邮件已经到达。

在 /login 用你登记的邮箱请求登录链接；只打开你自己收到的链接。
若已经设置 Passkey、认证器或恢复码，保留其中至少一种，不要只依赖一封还没到的邮件。
需要换绑邮箱时，登录后到 /account/security 完成页面要求的确认；任何验证码、登录链接和恢复码都不要转发给别人。

/login /account/security

依据

GET /login=200
GET /account/security=302; Location=/account#security
authenticated GET /account=200 is a separate server-verified session fact
mail delivery E2E has no independent observation window