PARCEL 01
确认表单是否真正提交
按钮被点击不代表请求成功。
观察页面是否出现明确结果、字段错误、倒计时或网络提示。若页面仍停留在原状态，先检查必填字段与浏览器控制台之外的可见错误。
不要连续点击提交。
重复请求可能触发限流，也可能生成多组只允许最后一组有效的验证码。
保留能复查的字段，再决定是否改变环境。
PARCEL 02
核对邮箱与分类
逐字符确认邮箱地址，查看垃圾邮件、促销、通知和全部邮件分类，并搜索品牌名与发送时间。
邮件投递可能受到发送队列、收件服务过滤和本地同步延迟影响。
将陌生附件或要求回复密码的邮件视为异常。
验证码只能提交到已核对的注册页面，不能转发给他人。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 03
理解验证码时效
验证码通常有有效时间与尝试次数限制。
较早邮件晚到时，新请求可能已经使旧码失效。
保留请求时间，优先使用页面当前说明，不把多封邮件里的数字轮流尝试。
设备时间明显不准也可能影响流程判断，先开启可信时间同步再重试。
保留能复查的字段，再决定是否改变环境。
PARCEL 04
账号状态与重复注册
同一邮箱若已有账号，页面可能引导登录或恢复，而不是重复建立账号。
不要为了绕过提示不断更换大小写、别名或临时邮箱，这会让后续恢复和付款归属更复杂。
已有账号的用户应进入登录说明页，忘记凭证则使用受信恢复渠道。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 05
跨浏览器对照
隐私窗口或另一浏览器可以判断站点存储、扩展和Cookie是否影响表单。
对照时保持邮箱、网络和时间相同，才知道变化来自浏览器环境。
若对照成功，只清理该站相关状态。不要把清除所有密码和浏览数据当成固定步骤。
保留能复查的字段，再决定是否改变环境。
PARCEL 06
停止条件
页面要求提供邮箱密码、短信转发、付款截图或远程控制设备时应立即停止。
正常验证码流程只验证一次性数字或链接，不需要把邮箱账户交给第三方。
高频请求、多个验证码混用或异常跳转都应先冷却并重新核对入口。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 07
反馈记录
记录入口、提交时间、邮箱服务商类别、可见提示、是否产生倒计时、是否收到任何邮件及最后一次请求时间。
用遮挡后的截图保留布局，不暴露完整邮箱和验证码。
这组信息能帮助区分页面、投递和账号状态，不需要提供敏感资料。
保留能复查的字段，再决定是否改变环境。
PARCEL 08
邮件从生成到收件箱的路径
页面接受请求后，需要生成邮件、交给发送系统、传递到收件服务商、经过过滤分类，最后由客户端同步。
任何一段延迟都可能表现为没收到。
页面成功提示不保证邮件已抵达。邮件晚到也不保证旧码仍有效。
把请求时间、页面结果和到达时间分别记录。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 09
限流与重复请求
服务可能按账号、邮箱、网络或设备限制频率。
连续点击可能触发等待，也可能让早先验证码失效。
页面响应慢时提交一次并等待明确结果，不在多个标签页同时请求。
限流不等于账号被永久关闭。
保留能复查的字段，再决定是否改变环境。
PARCEL 10
数字码与确认链接
数字码只输入当前已核对流程。确认链接可能带有敏感令牌，不转发、不公开截图，也不粘贴到第三方检测站。
点击邮件链接后仍要观察最终主机。
收到自己没请求的验证码时，不回复，也不把数字交给来询问的人。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 11
注册后的第一项确认
完成后先核对恢复方式和通知渠道，不急着在多台设备同时登录。
记录注册时间与入口，作为后续恢复基线。
页面若立即要求付款或下载，仍要重新核对费用、条款、平台与发布者。
注册成功不是后续链接的自动背书。
保留能复查的字段，再决定是否改变环境。
PARCEL 12
公司邮箱的额外环节
组织邮箱可能有安全网关、隔离区与同步规则。
个人邮箱可达而公司邮箱持续失败时，应按组织流程查询。
支持人员定位投递只需要时间与脱敏地址片段，不需要邮箱密码或远程控制。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 13
提交反馈时的最小字段
记录入口、提交时间、设备、浏览器、邮箱服务类别、页面提示、倒计时和最后一次请求时间。
遮挡完整邮箱与验证码。
要求代收验证码、共享邮箱密码或发送恢复码的沟通应立即终止。
保留能复查的字段，再决定是否改变环境。
PARCEL 14
邮箱别名与大小写不要用来反复试探
部分邮箱服务支持加号别名或点号变化，但目标账号系统如何处理并不一致。
用别名连续注册会制造多个难以恢复的身份，也可能触发风控。
邮箱本地部分是否区分大小写取决于系统实现。
最稳妥的做法是使用长期可控地址，并按最初输入方式保存。
若页面提示地址已经存在，应进入登录或恢复，而不是不断变换写法绕过提示。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 15
验证码页面刷新后的状态
刷新页面可能让倒计时、会话或验证码上下文改变。
收到邮件后回到旧标签输入，若页面已刷新或跨设备打开，验证码可能无法对应当前会话。
优先在发起请求的同一浏览器完成确认。
必须换设备时，重新从已核对入口开始，并等待原请求失效，避免两组状态交叉。
浏览器返回按钮也可能恢复缓存表单。
提交前重新检查邮箱与页面提示，不把旧字段直接送出。
保留能复查的字段，再决定是否改变环境。
PARCEL 16
注册通知可以作为未来的安全基线
保留不含敏感令牌的注册确认邮件，可以帮助确认历史发件域与时间。
未来收到不同发件地址的紧急通知时，能与基线比较。
基线不是绝对证明，发件系统可能更新。合法变更应在账号内或公开说明中出现，而不是只靠一封要求立即操作的邮件。
定期检查恢复邮箱和设备，确保它们仍由本人控制。
无法访问恢复渠道时，应在账号正常期间处理。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 17
短信验证码还受号码状态影响
短信投递除发送系统外，还会经过运营商和手机系统过滤。
双卡设备、漫游、欠费、拦截名单或号码刚转网，都可能影响到达时间。
先核对页面显示的号码尾号属于自己，不在公开截图中暴露完整号码。
手机能收普通短信，不保证特定短码或国际短信一定可达。
不要安装声称可以代收验证码的应用，也不要把SIM卡或远程控制权限交给客服。
需要反馈时只写运营商类别、国家地区、请求时间与页面提示。
保留能复查的字段，再决定是否改变环境。
PARCEL 18
页面校验错误与投递失败不同
邮箱格式错误、密码规则未满足、条款未勾选等问题会在请求发送前阻止表单。
此时检查字段提示，不必等待验证码。
接口明确返回发送失败或频率限制，则记录错误与时间。页面显示已发送但邮箱无邮件，才进入投递环节检查。
把两类结果分开，可以避免在表单根本未通过时反复搜索垃圾邮件，也能避免把邮件延迟误判为格式错误。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 19
验证码过期后的干净重试
确认旧码过期后，关闭多余标签，等待页面规定时间，再从同一已核对入口发起一次新请求。
记录新请求时间，只使用随后到达且时间匹配的邮件。
如果旧邮件和新邮件顺序颠倒，按请求时间而不是收件箱排序判断。
邮件服务可能延迟同步，最新显示在上方不一定代表最新生成。
一次干净重试仍无结果时，停止继续请求并提交脱敏记录。
高频操作只会让限流与投递延迟更难区分。
保留能复查的字段，再决定是否改变环境。
PARCEL 20
反垃圾过滤为何会改变投递位置
收件系统会根据发件域认证、内容、链接信誉和个人历史把邮件放入主收件箱、推广、垃圾箱或隔离区。
不同用户即使使用同一服务商，也可能得到不同分类。
把发件人加入联系人有时能改善后续分类，但不应在确认发件域之前操作。
垃圾箱中的邮件仍需核对完整发件地址和链接终点。
不要因为主题写着验证码就自动信任。
真正的验证码邮件不应要求回复邮箱密码，也不应附带可执行文件。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 21
换邮箱之前先考虑账号恢复
临时邮箱可能短期收得到验证码，却可能在未来无法访问，导致改密、账单和安全通知全部失去。
注册身份应使用长期可控且具备恢复措施的邮箱。
从公司邮箱换到个人邮箱，会改变未来通知与组织管理边界。
先核对服务是否允许修改账号邮箱，以及旧地址是否需要确认。
为了排错临时更换邮箱会同时改变账号身份与投递服务，结果不利于判断。
应先完成一次脱敏反馈，再按明确规则决定是否更换。
保留能复查的字段，再决定是否改变环境。
PARCEL 22
验证码输入框也可能暴露入口异常
正常输入框会明确说明验证码发送到哪个脱敏地址、有效时间或重新发送条件。
若页面显示陌生邮箱尾号，说明当前会话可能不属于预期账号。
输入框所在主机若与发起注册的主机完全无关，或页面要求先下载插件才能输入，应返回地址核对。
复制数字时注意不要连同空格、标点或邮件模板文字。
明确错误一次后，先检查请求时间与会话，不把多封邮件中的数字全部试遍。
把本层结果与前一层分开记录，避免互相替代。
PARCEL 23
完成注册后的回执
只记录完成时间、入口和恢复渠道是否确认，不保存验证码或密码。
收到后续安全通知时，可用这份回执比较发件域与任务。
注册结束后关闭多余表单标签，避免旧页面再次提交。
保留能复查的字段，再决定是否改变环境。
验证码与邮件机制依据
注册部分采用NIST数字身份与OWASP认证重试原则，并结合常见邮件投递环节。具体验证码时效和限流以目标页面说明为准。