这段群聊从“新词新站怎么做登录”开始，最后落到两个不同层面的问题：Google 登录如何少建项目、多用客户端；免验证邮箱在降低注册摩擦后，如何避免成为批量注册的入口。讨论没有停在某个登录按钮怎么配置，而是给出了一个更完整的取舍：入口要简单，权益要后置。
先看结论
- 早期新站可以先上 Google 登录和邮箱密码，不把邮件验证设为上线前置条件。
- Google 登录优先复用项目下的多个客户端，不必默认“一个网站建一个项目”。
- 邮箱只当唯一标识，不当已验证身份；尤其不能直接把未验证邮箱当成可信的找回密码凭据。
- 邮箱黑名单、别名、IP 和设备检测只能抬高成本，网页端无法靠单点方案彻底拦住批量注册。
- 更有效的做法是让注册本身没有高价值，把试用、积分或额度放到真实使用之后。
前两条来自群友的直接经验；后三条是对讨论的归纳，其中“不要把未验证邮箱当作找回凭据”属于编辑补充的安全边界，聊天里没有展开验证。
问题起点：Google 客户端与邮箱验证同时受限
春生提出的问题是：新词站要尽快上线，但 Google 注册客户端有名额限制，新域名发出的验证邮件又容易进垃圾箱。如果两条路都增加摩擦，似乎只剩“不验证邮箱、允许随便注册”这一种低门槛方案。
| 登录入口 | 群聊中的约束 | 形成的判断 |
|---|---|---|
| Google 登录 | 客户端配额、项目与客户端层级容易混淆 | 先复用项目下多个客户端，确有需要再拆分 |
| 邮箱密码 | 新域名验证邮件可能进入垃圾箱 | 暂不验证，把邮箱视作非重复字符串 |
| 防批量注册 | 免验证后注册可信度更低 | 把试用、积分等权益后置，而不是只靠注册口拦截 |
Google 登录：少建项目，多建客户端
先分清两个层级：Google Cloud 项目承载一组配置，OAuth 客户端是其中某个应用的登录凭据；同一个项目可以配置多个客户端。
哥飞的做法是一个 Google 账号建立多个项目，每个项目下可以放多个客户端，实在不够时再增加账号。东淼此前一直“一站一项目”，听到这个层级后才意识到自己多做了管理动作。
村长在本地测试时看到登录页显示项目名，而不是客户端名，于是以为必须为每个网站单独建项目。黄八宝和刘乐兵的经验是：本地环境常显示项目名或品牌，生产环境会按域名展示。因此本地看到的文案不能直接代表上线后的授权页。
| 环境 | 群友观察 | 上线动作 |
|---|---|---|
| 本地测试 | 可能显示项目名或品牌 | 不要只凭本地文案判断客户端配置失败 |
| 生产环境 | 按真实域名呈现 | 用正式域名复测 OAuth 授权流程 |
| 多站管理 | 一个项目可以配置多个客户端 | 优先复用；确有品牌、安全或配额隔离需求再拆 |
免验证邮箱：可以省掉验证，不能省掉信任边界
哥飞的实际做法是不做邮箱验证，把用户填写的邮箱当作非重复字符串，不依赖邮件完成注册。这个方案能显著降低新站注册摩擦，也绕开了新域名邮件信誉不足的问题。
但免验证意味着邮箱只完成了“账号字段”的作用，没有证明用户真的拥有该邮箱。它适合作为登录标识，不适合直接承担高价值权益发放、密码找回或敏感通知。
反批量注册：单点拦截挡不住，就让收益不值得拿
SAI 的反馈把讨论推进到运营防守：邮箱注册会招来手动批量注册，团队每天都在想办法堵。随后群友从邮箱类型、别名，继续讨论到 IP、设备和浏览器环境。
| 手段 | 群友的直接经验 | 仍然存在的边界 |
|---|---|---|
| 禁止非主流邮箱 | 村长提出直接拒绝一类域名 | 可能误伤真实用户，也会被其他邮箱绕开 |
| 拦截邮箱别名 | Leovyx 认为别名可以拦住 | SAI 指出 Outlook 别名之外仍有其他办法 |
| IP 与设备检测 | SAI 表示两类检测都已落地 | 无痕模式、重启路由和 Opera 自带代理会削弱识别 |
| 不送试用或积分 | Jason 与 Leovyx 都提到不直接给权益 | 仍需观察正常用户激活和付费转化是否受影响 |
讨论里更接近共识的落点，不是把注册按钮彻底关掉，而是让“注册成功”本身拿不到多少钱。邮箱、IP、设备等信号可以增加成本，但不能单独证明账号可信。
可执行的上线顺序
- 第一版先跑通 Google 登录和邮箱密码，不让邮件验证阻塞注册。
- 在产品中明确标记邮箱“未验证”，不要把它当作可信联系方式或唯一找回凭据。
- 试用、积分和额度在注册之后发放，优先绑定真实使用行为或后续验证。
- 先做域名与别名规范化、频率限制和异常记录，再按实际滥用补 IP、设备与行为信号。
- 同时看正常注册、激活、付费转化与异常领取；如果防护成本高于滥用损失，就停止继续加码。
这张清单是编辑基于聊天内容整理的上线建议，不是群友逐项测试后的统一结论。
仍未解决的三件事
- Google 当前的项目与客户端上限、授权页文案表现，仍要按实际控制台和正式域名测试。
- 新域名验证邮件的到达率、误判率和不同收件服务的差异，聊天没有数据。
- 邮箱、IP、设备与行为检测的真实拦截率，以及它们对正常转化和客服成本的影响，未形成结论。
完整原始对话
以下是 2026年10月25日 10:33 至 12:41 的群聊，共 25 条消息、10 位参与者。原文按时间顺序完整保留，没有网址和图片。
首尾消息
谷歌的话要注册客户端有名额限制，所以是不是最好有起色的站再加？
邮箱验证的话，新域名发的邮件会进垃圾箱。
所以好像就没有其他方案了，只剩不验证邮箱支持随便注册了。
全部 25 条消息
谷歌的话要注册客户端有名额限制，所以是不是最好有起色的站再加？
邮箱验证的话，新域名发的邮件会进垃圾箱。
所以好像就没有其他方案了，只剩不验证邮箱支持随便注册了。
前者一个谷歌账号可以创建多个项目，一个项目里可以有多个客户端，实在不够用还可以有多个谷歌账号。
后者不做邮箱验证，我们就相信用户写的邮箱是正确的，并且其实我们并不需要拿邮箱来做什么，就当作是非重复字符串就行。
弄得我实在没办法最后只能每个网站都单独建项目了。