docs(plans): 下发 K16 注册限流配置化任务

docs/plans/INBOX.md

@@ -20,7 +20,44 @@
 
 ---
 
-## [已处理·待用户验收] 2026-10-17 | K14 客户端文档：README + 任务清单 + 文件说明
+## [待处理] 2026-10-17 | K16 注册限流改为可配置（支持不限制）
+
+**用户指令（2026-10-17）**：「注册 429 限流做成可配置的，不限制或限制数量」。
+
+> 只改后端注册风控配置化，不改注册业务逻辑与接口形态。
+
+### 一、现状（实测）
+
+- `fruitshorts-module-user/.../AppAuthService.java:305-307`：常量硬编码 `MAX_REGISTER_PER_IP_PER_DAY = 5`、`MAX_REGISTER_PER_DEVICE_PER_DAY = 3`。
+- `guardRegisterRisk(...)` 在数值达到阈值时抛 429；无注解注入，无法配置。
+- `fruitshorts-app-api/src/main/resources/application.yml` 已有 `fruitshorts.interaction.*` 等配置段。
+
+### 二、本批范围
+
+1. 配置化：
+   - 新增 `fruitshorts.auth.register-max-per-ip-per-day`（默认 5）、`fruitshorts.auth.register-max-per-device-per-day`（默认 3）；
+   - 用 `@Value` 注入 `AppAuthService`（保持现有构造方式最小改动）；
+   - **值 ≤ 0 表示不限制**（跳过对应 guard 分支），不改变错误码与文案。
+2. 开发环境 yml：在 `application.yml` 显式写 0（不限制），并注释说明生产建议值 5/3；`application-prod.yml` 如存在则保持 5/3。
+3. 契约说明：在 `FruitServer/docs/api-phase1.md` §1.1 注册风控段补充配置键与 0=不限制口径。
+4. 测试：
+   - 现有 IP/设备限流用例改为注入配置；
+   - 新增「配置为 0 时不限制」用例（分别覆盖 IP 与设备）；
+   - `mvn test` 全绿。
+5. 重新打包并重启 8081：
+   - `mvn -pl fruitshorts-app-api -am package -DskipTests`；
+   - 停掉旧 8081 进程并用新 jar 启动，`/healthz` 通过；
+   - 验证：用新设备号连续注册若干次不再 429（只做接口自检，不作为设备侧证据）。
+
+### 三、约束
+
+- 不改客户端；不改注册接口路径与返回结构；不动 main。
+- 提交作者与提交者统一 `Zhou Weidong <502333560@qq.com>`；从干净 develop 拉 `feature/backend-register-rate-config`，完成后 `git merge --no-ff` 回 develop 并 push。
+- 留痕写入 `FruitServer/docs/plans/PROGRESS.md`。
+
+---
+
+## [待处理] 2026-10-17 | K14 客户端文档：README + 任务清单 + 文件说明
 
 **用户指令（2026-10-17）**：「现在更新客户端 readme 任务清单 及文件说明」。