同個 Email、兩種登入方式 — Node.js + Google 登入整合的四個帳號接管路徑

對任何同時支援「Email + 密碼註冊」跟「Google 登入」或其他第三方登入的系統來說，會員身分可能的狀態組合會比單一登入方式來得複雜，也容易留下一些漏洞。

本場以一個會員系統(Node.js + Express + TypeScript + MongoDB)為例，拆解四個典型的攻擊手法與對應修補：

1. 擋下 Google 自動接管已有密碼的帳號
2. Google 登入會員後續該如何安全補上密碼
3. 刪帳號前先解除綁定，避免 orphan binding
4. Pre-account Hijacking：當帳號還沒建立就被卡位的攻擊路徑

希望能對近期需要整合任何第三方登入的朋友們有一些幫助。