新地址收到了邮件，账号资料页却仍显示旧地址。
最快判断：把“邮件已经生成或到达”与“账号邮箱已经变更”分开验收；按自家产品规则核对新地址确认、旧地址通知和验证前后账号状态，不把某一种产品行为当成通用标准。
开发者：正在实现或维护自家产品的邮箱更改与确认流程，需要核对邮件触发和账号状态变化。
QA 工程师：需要覆盖新旧地址收件、验证链接操作和重复请求等场景。
独立开发者或产品负责人：希望上线前留下能够复核的邮件与账号状态证据。
先区分邮件证据与变更结果
“邮件发出”可能只表示应用生成了邮件，或发送服务接受了投递请求；“测试收件邮箱里看到了邮件”才是受控收件环节的证据；“账号邮箱已更新”则要由产品页面或测试接口的状态确认。三者不能互相替代。
OWASP 将邮箱更改视为身份变更，列出重新认证、通知现有地址、确认新地址等建议，并指出高风险系统可考虑要求两个地址都确认；这些是安全建议，不代表每个产品都按同一种方式执行。验收时应先写清产品自身的预期状态，再逐项对照实际结果。OWASP 邮箱验证与身份系统指南
| 测试方案 | 邮件收件目标 | 主要核对内容 | 决策边界 |
|---|---|---|---|
| 新地址确认 | 新地址 | 邮件是否对应本次请求、链接处理后地址是否更新 | 适用于产品要求先确认新地址的流程 |
| 旧地址通知 | 旧地址 | 是否按设计告知变更、内容是否关联本次操作 | 仅在产品设计包含通知时验收，不推定一定有取消入口 |
| 双地址确认 | 新旧地址 | 两边的确认结果与账号最终状态 | 适用于产品设计要求双边确认的流程，不能擅自当作统一标准 |
这个表格用于选择验收断言，不是要求产品采用某一种方案。尤其是旧地址：产品可能发送安全告知，也可能没有确认或取消链接；测试应核对实际需求，而不是把别的产品的流程当成基准。
新地址确认与账号状态
在新地址收到邮件后，先核对邮件是否属于本次账号邮箱变更请求。检查邮件目标地址、账号标识的测试关联信息及验证链接是否符合产品预期；不要只看标题或一封邮件出现，就判定确认成功。
建议按以下顺序执行：
- 在测试环境选定隔离账号，记录账号标识、当前地址、拟更换地址和环境。不要把真实用户资料或未经授权的同事邮箱带入测试数据。
- 按产品要求完成身份重新验证，然后提交账号邮箱变更请求；保存页面提示、请求编号或测试日志中的关联标记。
- 到新地址对应的测试收件邮箱查找与本次请求相符的邮件。分开记录应用生成、发送服务提交和收件箱实际收到，不把其中任一项冒充其余环节的证据。
- 检查邮件正文与链接的目标是否符合产品预期；确认链接对应的是本次账号和请求，而不是另一个测试账号或先前操作。
- 在隔离测试环境中按预期操作邮件验证链接，然后重新读取账号资料页或测试接口。
- 对照预先写好的状态预期：邮箱字段是否更新、待确认状态是否清除，以及其他依赖邮箱的产品状态是否按设计变化。
- 将邮件证据、操作结果和最终账号状态放在同一条测试记录中，记录测试环境与时间点，供复测时对照。
如果链接处理成功但页面还显示旧地址，结果应记录为“链接已处理，账号字段未按预期更新”，再检查产品状态转换；如果地址已经更新，却没有收到邮件，则是收件链路或邮件触发断言未通过。不要用一个成功结果掩盖另一个失败结果。
变更尚未确认时的状态
在新地址尚未完成确认时，先检查账号仍处于产品定义的待确认状态。不同产品可能继续允许旧地址登录，也可能暂时限制部分操作；需按本产品的规则验收，不应推断未确认就一定锁定账号或一定保持原样。
将状态证据拆成两份保存：一份来自账号页面或测试接口，说明邮箱字段与变更状态；另一份来自受控收件邮箱，说明本次邮件是否实际出现。若邮件已生成但没有出现在收件箱，只能记录生成或提交阶段的结果；若邮件已经收到但状态仍是待确认，说明确认动作尚未按预期完成。
使用邮件验证链接时，还应检查产品是否要求链接单次使用、是否设置有效期限，以及使用后如何处理。OWASP 对验证令牌提出单次使用和限时等建议，但本文不据此推定被测产品的具体有效时间；测试应按产品已定义的规则执行。
旧地址通知的边界
如果产品设计会向旧地址发通知，就用旧地址对应的受控测试收件目标核对邮件是否与本次变更关联、通知内容是否准确，以及邮件是否意外包含令牌、完整验证链接或其他不必要的敏感信息。若产品只发送告知邮件，不要把“缺少取消入口”记成缺陷；若需求明确定义了取消入口，再单独测试它能否按预期处理该请求。
邮箱更改属于敏感账号操作时，产品可能要求重新认证或其他额外验证。OWASP 的身份验证建议包括对敏感操作重新认证；是否启用以及采用何种机制，仍取决于被测产品设计和风险模型。OWASP 身份验证指南
如果旧地址通知存在，测试其内容是否会泄露新地址时，应按照产品隐私要求判断必要信息范围，而非把“显示了新地址”一概认定为漏洞。账号会话或重新认证行为也应对照产品预期；OWASP 建议在特定高风险事件后考虑重新认证。OWASP 会话管理指南
常见问题：邮件与状态如何对应？
自家产品的邮箱更改流程要检查哪些环节？
从变更请求开始，检查身份重新验证、发往新地址的确认邮件、产品设计中的旧地址通知、链接处理和账号资料状态；再加入重复请求与旧链接测试。每个环节分别保存可观察结果，特别标清邮件生成、发送提交、测试收件箱实际收到和账号字段更新，避免把“邮件成功”作为整个账号邮箱变更流程通过的唯一依据。
验证邮件应发到新地址还是旧地址？
产品需要确认新地址归账号持有人控制时，应按设计向新地址发确认邮件；是否向旧地址发送告知或确认入口，则由产品需求决定。OWASP 建议通知旧地址、确认新地址，并允许高风险系统考虑双地址确认。验收时先查需求与实际实现，不要将其中任何一种邮件分发方式写成所有产品必须遵守的统一规则。
点击邮件验证链接后，怎样确认账号地址更新？
不要只看链接打开后的提示。回到账号资料页或产品提供的测试接口，确认邮箱字段、变更状态及相关页面是否符合产品定义；同时保存本次链接操作与请求的对应证据。如果只看到邮件已读、链接页面显示成功，或验证服务报告已处理，却没有核对账号状态，就还不能证明账号邮箱已经完成变更。
自动化断言如何区分发送提交与实际收件？
为本次测试请求设置可关联的账号或运行记录，在发送侧记录提交结果，再由测试收件箱单独检查对应邮件是否出现，并核对目标地址和邮件内容。收件箱等待结果与账号状态断言应分开报告；没有收件证据时，不应把发送服务接受请求视为邮件已到达。重复请求时也要防止旧邮件被错认成当前请求邮件。
重复请求与旧链接
重复提交邮箱更改请求时，先明确产品定义的替换规则，再在隔离测试账号上验证。可按下面的顺序记录实际行为：
- 提交第一次变更请求，记录旧地址、新地址与请求关联标记。
- 在第一次请求仍待确认时提交第二次请求，记录产品是否接受、拒绝或替换前一次请求。
- 分别检查两次请求对应的邮件及链接，确保没有把前次邮件误判为当前请求的确认结果。
- 按产品设计测试旧链接、最新链接及重复打开链接的行为。
- 最后核对账号邮箱字段和待确认状态，确认结果符合需求文档或验收标准。
OWASP 对验证令牌提出单次使用、限时等建议，但产品的链接有效期、旧请求如何失效，仍应以自家实现为准；不要在测试报告里编造统一过期时间或假定所有旧链接都必然失效。涉及恢复能力的关键账号，更要确保邮箱更新测试不会绕过产品规定的身份验证流程。OWASP 忘记密码指南中的令牌建议
测试地址与验收记录
新旧地址应分别对应受控的测试收件目标。测试运行前确认两边都由授权人员或测试流程控制，避免使用真实用户数据、生产账号或未经许可的同事邮箱。测试数据可以用虚构身份，但邮件验证要真正到达受控收件目标；仅用于格式校验、不需要真实收件的用例，则不应误记为邮箱变更链路已验收。
RFC 2606 将 4 个顶级域名保留用于测试、文档示例或相关用途，包括 .test、.example、.invalid 和 .localhost；文档示例还列出 3 个示例二级域名：example.com、example.net 和 example.org。这类保留名称适用于相应的测试或示例用途，不等于能作为实际外部邮件收件地址使用；需要验证真实投递时，应使用自家控制的测试地址或其他经授权的收件方案。RFC 2606 保留域名说明
记录中至少包含：测试环境、账号标识、变更前后的地址（按隐私规则脱敏）、请求关联标记、邮件是否实际收到、链接操作结果、账号最终状态，以及本次测试的结论。不要保存不必要的完整令牌或完整链接；如果测试收件方案有保存期限，还要确认它足以覆盖这次验收与复核需要。关于临时收件地址的时长选择，可先看收件箱寿命规划说明，并以当前方案实际公布的规则为准。
邮箱更改验证测试的验收结论
当邮件、链接处理和账号状态三类证据都能对应到同一测试请求，才适合判断邮箱更改流程是否按预期工作。若邮件到了而账号没变，或账号变了但设计要求的通知没有到达，应分别记录失败环节，不要笼统写成“验证成功”。
如果自家产品的验收需要隔离新旧地址收件，可把 OrbForward 作为临时收件方案之一：其简体中文首页说明提供免注册、即开即用的临时收件方式。使用前仍应确认当前页面公布的收件边界和该地址是否适合测试环境；它不能代替账号状态核验，也不应承担需要长期找回或持续收信的重要账号用途。
常见问题
自家产品的邮箱更改流程，测试时要覆盖哪些环节？
先记录测试账号、环境和产品预期，再检查请求触发、发往新地址的邮件、产品设计中的旧地址通知、验证链接处理，以及账号资料最终状态。重复请求和旧链接也要按实现规则验证。保存收件证据与页面或接口状态，不能只凭邮件已经出现就判定流程通过。
更改邮箱时，确认邮件该发到新地址还是旧地址？
新地址需要收到所有权确认邮件，才能验证它确实可由账号持有人访问；是否同时向旧地址发送通知或操作入口，要看自家产品设计和风险要求。OWASP 将邮箱更改视为身份变更，并建议通知现有地址、确认新地址；这不是所有产品都采用同一邮件分发方式的证明。
点击验证链接后，怎样核实账号邮箱确实更新了？
回到产品的账号资料页，或查询被测产品提供的测试接口，检查当前邮箱字段和变更状态是否符合预期；同时记录链接处理结果及请求关联信息。若页面仍显示旧地址，或者只有邮件显示已验证而账号资料未变，就应按产品状态机继续排查，不能仅凭成功提示认定变更完成。
自动化测试里，怎样区别邮件已提交和收件箱已收到？
分别记录应用生成邮件、发送服务提交、受控测试收件箱实际出现邮件这几类证据；它们代表不同阶段。自动化断言应等待本次请求对应的邮件，并核对目标地址、内容或链接，再单独读取账号状态。若收件箱没有邮件，不能把发送服务的提交回执当成实际收件证明。
选择适合这次注册的地址
一次性验证码用临时邮箱，需要长期往来的账号用匿名转发别名，真实邮箱始终不暴露。