Пользователь, подтвердивший почту, и пользователь, не подтвердивший почту, — это разные ролевые модели или одна?

Необязательно делать разные роли: подтверждение почты часто является состоянием аккаунта или атрибутом политики доступа. Выбор зависит от модели авторизации и бизнес-требований.

Например, роль user остаётся прежней, но операция разрешается только при email_verified=true. Это сочетает роль и дополнительное условие. Отдельные роли тоже возможны, однако могут раздувать модель при большом числе состояний. В тестах важны оба состояния, переход после подтверждения, повторный вход и серверная проверка ограничения, независимо от выбранного представления.