找回密码

找回流程的安全边界

• · 先确认手机号已注册，但不告诉调用方「这个号存不存在」以外的信息。否则这个接口会变成「批量探测哪些手机号注册过」的工具。
• · 验证码场景必须隔离：找回、登录、换绑各用各的 scene，一个码只能干一件事，否则原号的码能拿去操作新号。
• · 重置成功要让旧会话失效：不然密码改了，别人那台已登录的设备照样能用。
• · 找回接口一定要限流：不限流就是拿自己的短信费给人做压测。