비밀번호 없는 OTP는 받은편지함 경계가 필요하다

이 글은 이메일 전달을 단순한 전송 계층이 아니라 인증 경계의 일부로 봐야 한다고 강조합니다.

인박스, 세션, 검증 기록의 범위가 느슨하면 OTP 재사용, 레이스 컨디션, 감사 추적의 불명확성이 생길 수 있습니다.

대응책으로는 OTP를 한 번의 시도, 한 명의 사용자, 하나의 nonce에만 묶고 빠르게 만료시키는 방식이 제시됩니다.

또한 스테이징이나 리뷰용 인박스 접근도 실행 단위나 검토 창으로 엄격히 제한해야 한다고 권고합니다.