### 认证操作重点检查项

寻找代码短路与权限缺失

- **权限校验缺失**：路由接口不存在任何权限校验逻辑。
- **校验失败未阻断**：检查鉴权失败或Token无效的分支中，代码仅记录日志，输出错误信息或重新赋值创建token/session，而**未写 `return`、`raise` 彻底阻断执行流**，导致后续敏感代码继续执行的短路缺陷。
- **凭证硬编码绕过**：在代码中直接定义用于身份校验、签名或加密的凭证变量为固定值，导致后续认证凭据可伪造。
- **特权逻辑绕过**：权限校验代码中存在鉴权逻辑中的“捷径”、“特权白名单”或“调试后门”。
- **多步认证绕过**：审查多步操作（如找回密码流程：1.验证手机 -> 2.输入验证码 -> 3.重置密码）中，关键步骤仅依赖前端传入参数（如 `step=3`）决定执行流程，而未在后端强校验用户已完成前置步骤的逻辑跳跃漏洞。
- **信任前端凭据**：检查身份判断逻辑中，盲目信任易被伪造的前端输入（如未签名的明文Cookie `isLogin=true` 或请求头标识）的风险。
- **频率限制缺失**：在账号密码登录的场景中，未限制用户的输入次数且未添加验证码机制，攻击者可任意多次输入账号密码（导致密码爆破）。
