Сейчас я пишу авторизацию через OpenId. Хочу сделать также автоматическую регистрацию на сайте, т.е. если данные приходят от OpenId провайдера, то для юзера создается учетная запись (если таковой еще нет).

И вот встаёт вопрос. Насколько можно доверять емаил адресу, который был получен от openid сервера? Нельзя доверять! Понятное дело, что на серверах email проходит проверку, но ведь тогда нужно создавать список из "белых серверов", иначе человек может поднять свой openid сервер и "неправильный емаил" передать.

Можно, создать изначальный список из well known OpenID провайдеров. Если приходит человек не от этих серверов, то требовать подтверждение e-mail, а без этого либо вообще ничего не разрешать, либо ограничить в правах. Когда для сервера накопится достаточное количество подтвержденных e-mail-ов, можно переместить его в "белый список".