问OTP验证时存在缺陷的OTP系统

EN

我正在创建一个应用程序，用户必须核实他们的电子邮件地址，一旦他们注册。这是通过OTP完成的，OTP是在用户访问注册API之后发送的。如果OTP是有效的，那么我们确认注册，否则我们删除用户。在注册用户时，我还创建了一个OTP对象，并将其与用户相关联。例如,

class Otp{
.
.
.
private User user;

// setter and getter
.
.
}

下面是一个场景。假设用户A已经注册了自己，但还没有验证自己。现在，另一些人点击了验证API，偶然地发送了用户A接收到的相同的OTP，用户A被注册了。现在发生这种情况的可能性很低，因为我的OTP长度将是7-8个字符，但不是零。我认为这是一个安全漏洞。是所有OTP系统都有这样的缺陷，还是我做错了什么。如果是，有人能为OTP系统提出一个好的设计方案吗？