登录、认证与安全校验

已确认的接口能力

UserService 定义 doLogin、login、registerUserAndUserLog 以及登录流程记录相关接口；还包含手机验证码、邮件验证码、Google 验证与交易密码校验。

校验方向	代表接口
手机与邮箱	validatePhoneCode、validateEmail、对应 RemoveKey 形式
Google 验证	validateGoogle
交易密码	needValidatePayPassword、validatePayPassword、updatePayPassword
业务状态	validateTradeStatus、validateContractTradeStatus、validateOtcStatus、validateWithdraw
人机验证	HumanHachineRecognitionService 的验证接口

核对路线

客户端请求 → 接入层身份和参数 → 登录或注册服务 → 验证与用户状态 → 登录结果和日志。这里只给出阅读路线，Token、会话、密码存储算法和限流策略须继续查实现，不能由接口存在认定已经安全。

实名认证接口

coinex-user/user-api/src/main/java/com/exch/user/api/service/UserAuthService.java 包含 findByUserId、findUserAuthPage、addUserAuthAndUpdateUser、advancedAuth 和待审核数量查询；UserAuthLogService 提供认证日志入口。资料提交、认证升级、审核与用户状态变化需要沿各自实现继续核对。

认证边界

登录身份验证、验证码、交易密码和实名审核是不同过程。当前读取的接口不足以证明完整实名审核链路，不把本页描述成已核验的 KYC 流程。

验证场景

重复或过期验证码、错误密码、并发登录、验证成功后重复使用、用户被限制后请求交易，以及日志和响应是否暴露敏感信息。