WEBページにOAuth 2.0(OpenID Connect含まず)を利用したログイン機能を作成した場合に、
・ユーザー情報が変化しても一意に特定できるのか?どのように行うのか?
・仮に特定できないとした場合、変更前と同一ユーザーであることを確認する対処法があるのか?
の2点を知りたいです。
OpenID Connect非利用時のOAuth2.0の認可を利用した認証について勉強しています。
読んでいる本には、OAuth2.0を利用してメールアドレスやユーザーIDにアクセス認可を得られる人なら本人だろうから、認証・ログイン機能を作れる旨が書いてありました。
しかし、メールアドレスやユーザーIDを変更可能な認可プロバイダもあり、本の内容そのままでは、ユーザー情報を変更されてしまうと別ユーザーとして扱われてしまうような気がしてなりません。
変更された場合でも、変更前と同一ユーザーだと特定できるものなのですか?現実にはどのようにして行われているのでしょうか?
また、仮に特定できないのであれば、実際に運用されているサービスでは、一体どのようにして変更前後のユーザーが同一であることを確認しているでしょうか?
未だ知識や能力がWEBサービスを作る段階に達していないものの、どうしても気になってしまいます。
教えていただけないでしょうか、よろしくお願いします。