Vicky
6833e01e1f
feat: C 端 1-1 邮箱+密码注册（免码不阻塞，带风控）
为什么：客户端要做的第一件事是账号，但现状下邮箱注册走不通 —— RegisterReqVO.code 是 @NotBlank，
而 OTP 通道现在是 LogOtpSender（只写日志、发不出去），等于注册入口堵死。本轮把"邮箱+密码"打通，
同时按口径补上免码必须带的风控。
- RegisterReqVO.code 放开非必填（PHONE 仍必填，必填性按 targetType 在服务端判断）
- 邮箱注册分支：格式校验（AppIdentifier.requireEmailFormat）+ 密码强度（8-64 位且含字母数字）；
传了 code 就顺手校验一次，邮箱验证能力保留但不阻塞
- 注册频控：同 IP 24h ≤5、同设备 24h ≤3（数 app_user.register_ip / register_device_id，不新建计数表），超出 429
- 顺带修一个真问题：login() 原来**无条件**把 credential 标成 verified=1，
密码登录并不证明邮箱归用户所有，会把"未验证"状态悄悄抹掉；改成只有验证码登录才置 1
- docs/api-phase1.md 补注册契约表格与残留风险（IP/设备号可伪造、OTP 只写日志、邮箱可达性未验证）
实测：免码注册成功（邮箱大小写与空格被规范化）；弱密码/坏邮箱 400；重复 200001；
邮箱+密码登录成功；PHONE 不带码仍报"请先获取验证码"；同设备第 4 次、同 IP 第 6 次分别 429；
免码注册后 verified=0 且经一次密码登录仍是 0。
2026-10-15 17:20:31 +08:00
..
2026-10-15 17:20:31 +08:00
2026-10-15 11:44:26 +08:00
2026-10-15 11:44:26 +08:00
2026-10-15 11:44:26 +08:00