fix(auth): 登录限流改按设备(device_id)而非手机号 — 防一机狂登多号

sms-login 防刷限流键从 (手机号+IP) 改为 (device_id+IP):同一台机器换不同手机号刷登录
也受同一桶约束(5次/小时,成功/失败都计);device_id 空(老客户端)时退化为该 IP 聚一桶,仍受限。
测试号仍豁免。回归测试更新为设备维度(同设备换号仍被拦、换设备独立放行)。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

app/api/v1/auth.py

@@ -38,7 +38,7 @@ logger = logging.getLogger("shagua.auth")
 
 router = APIRouter(prefix="/api/v1/auth", tags=["auth"])
 
-# 手机号登录防刷:同一手机号 + 同一 IP 每小时最多的登录尝试次数(成功/失败都计)。
+# 手机号登录防刷:同一设备(device_id) + 同一 IP 每小时最多的登录尝试次数(成功/失败都计)。
 SMS_LOGIN_MAX_PER_HOUR = 5
 
 
@@ -115,7 +115,7 @@ def sms_send(req: SmsSendRequest) -> SmsSendResponse:
 def sms_login(req: SmsLoginRequest, request: Request, db: DbSession) -> TokenWithUser:
     # 测试账号:免验证码登录 + 每日上限 + 每次都走新手引导(详见 app/core/test_account.py)。
     # 放在最前面:命中即不校验验证码;先扣当日额度,超限直接拒,挡住有人猜到号后脚本刷。
-    # 测试账号走自己的每日额度、不受下面 (手机号+IP) 每小时限流约束(QA 需在一小时内反复登录联调)。
+    # 测试账号走自己的每日额度、不受下面 (设备+IP) 每小时限流约束(QA 需在一小时内反复登录联调)。
     if test_account.is_test_account(req.phone):
         if not test_account.try_consume_quota():
             raise HTTPException(status_code=429, detail="测试账号今日使用次数已达上限,请明天再试")
@@ -127,12 +127,14 @@ def sms_login(req: SmsLoginRequest, request: Request, db: DbSession) -> TokenWit
         # 不读/不写 onboarding_completion 表。
         return _login_response(user, onboarding_completed=False, force_onboarding=True)
 
-    # 防刷:同一手机号 + 同一 IP 每小时最多 SMS_LOGIN_MAX_PER_HOUR 次登录尝试。放在验证码校验**之前**
-    # → 输错验证码的失败尝试也计数,才挡得住撞库/爆破。与路由上 IP 维度的 sms-login 限流(同 IP 多号)互补。
+    # 防刷:同一设备(device_id) + 同一 IP 每小时最多 SMS_LOGIN_MAX_PER_HOUR 次登录尝试。放在验证码校验
+    # **之前** → 输错验证码的失败尝试也计数,才挡得住撞库/爆破。与路由上 IP 维度的 sms-login 限流(同 IP)互补。
+    # ⚠️ 按设备而非手机号 → 一台机器换不同手机号刷登录也受限(防一机狂登多号);device_id 空(老客户端)时
+    #    退化为该 IP 下所有空设备聚一桶,仍受限。
     enforce_rate_limit(
         request,
-        scope="sms-login-phone",
-        subject=req.phone,
+        scope="sms-login-device",
+        subject=req.device_id,
         limit=SMS_LOGIN_MAX_PER_HOUR,
         window_sec=3600,
         detail="登录尝试过于频繁,请稍后再试",

tests/test_auth.py

@@ -74,8 +74,8 @@ def test_sms_send_too_frequent(client) -> None:
     assert client.post("/api/v1/auth/sms/send", json={"phone": phone}).status_code == 429
 
 
-def test_sms_login_phone_ip_rate_limit(client, monkeypatch) -> None:
-    """防刷:同一手机号 + 同一 IP 每小时最多 SMS_LOGIN_MAX_PER_HOUR 次登录尝试,超出 429。
+def test_sms_login_device_ip_rate_limit(client, monkeypatch) -> None:
+    """防刷:同一设备(device_id) + 同一 IP 每小时最多 SMS_LOGIN_MAX_PER_HOUR 次登录尝试,超出 429。
     conftest 默认 RATE_LIMIT_ENABLED=false(内存计数跨用例累加),本用例临时打开并清空计数隔离。"""
     from app.api.v1 import auth
     from app.core import ratelimit
@@ -83,18 +83,27 @@ def test_sms_login_phone_ip_rate_limit(client, monkeypatch) -> None:
     monkeypatch.setattr(ratelimit.settings, "RATE_LIMIT_ENABLED", True)
     ratelimit._buckets.clear()  # 隔离:清掉跨用例累加的内存计数
 
-    phone = "13533153300"
-    # 前 N 次:mock 校验放行(任意 6 位数字)→ 200 登录成功
+    device = "dev-rl-A"
+    # 前 N 次故意每次换手机号、固定设备:mock 校验放行 → 200。证明限流按设备而非手机号,同设备共用一个桶
     for i in range(auth.SMS_LOGIN_MAX_PER_HOUR):
-        r = client.post("/api/v1/auth/sms/login", json={"phone": phone, "code": "123456"})
+        r = client.post(
+            "/api/v1/auth/sms/login",
+            json={"phone": f"135331533{i:02d}", "code": "123456", "device_id": device},
+        )
         assert r.status_code == 200, f"第 {i + 1} 次应放行: {r.text}"
-    # 第 N+1 次:同号同 IP 超限 → 429
-    r = client.post("/api/v1/auth/sms/login", json={"phone": phone, "code": "123456"})
+    # 第 N+1 次:同设备同 IP 超限 → 429(即便又换了个手机号)
+    r = client.post(
+        "/api/v1/auth/sms/login",
+        json={"phone": "13533153399", "code": "123456", "device_id": device},
+    )
     assert r.status_code == 429, r.text
     assert "频繁" in r.json()["detail"]
 
-    # 同 IP 换个手机号 → 独立计数(限流键含手机号、非纯 IP),仍放行
-    r = client.post("/api/v1/auth/sms/login", json={"phone": "13533153301", "code": "123456"})
+    # 同 IP 换个设备 → 独立计数(限流键含 device_id、非纯 IP/手机号),仍放行
+    r = client.post(
+        "/api/v1/auth/sms/login",
+        json={"phone": "13533153300", "code": "123456", "device_id": "dev-rl-B"},
+    )
     assert r.status_code == 200, r.text
 
 

tests/test_test_account.py

@@ -144,11 +144,11 @@ def test_send_does_not_consume_quota(client, enabled, monkeypatch) -> None:
 
 # ============================ 登录限流豁免 ============================
 
-def test_exempt_from_phone_ip_login_rate_limit(client, enabled, monkeypatch) -> None:
-    """测试号豁免 (手机号+IP) 每小时登录限流。
+def test_exempt_from_device_ip_login_rate_limit(client, enabled, monkeypatch) -> None:
+    """测试号豁免 (设备+IP) 每小时登录限流。
 
-    普通号同号同 IP 到 SMS_LOGIN_MAX_PER_HOUR 次即被拦(见 test_auth.test_sms_login_phone_ip_rate_limit);
-    测试号走自己的每日额度、不受这道限流——这里临时打开 RATE_LIMIT_ENABLED,连登远超该上限仍全 200。
+    普通设备同设备同 IP 到 SMS_LOGIN_MAX_PER_HOUR 次即被拦(见 test_auth.test_sms_login_device_ip_rate_limit);
+    测试号走自己的每日额度、不受这道限流——这里临时打开 RATE_LIMIT_ENABLED,同一设备连登远超该上限仍全 200。
     回归用:防有人把 enforce_rate_limit 挪到测试账号 early-return 之前而破坏豁免。"""
     from app.api.v1 import auth
     from app.core import ratelimit
@@ -156,9 +156,12 @@ def test_exempt_from_phone_ip_login_rate_limit(client, enabled, monkeypatch) ->
     monkeypatch.setattr(ratelimit.settings, "RATE_LIMIT_ENABLED", True)
     ratelimit._buckets.clear()  # 隔离:清掉跨用例累加的内存计数
 
-    # 连登 (每小时上限 + 3) 次,远超普通号会被拦的阈值;测试号豁免 → 全部放行
+    # 同一设备连登 (每小时上限 + 3) 次,远超普通设备会被拦的阈值;测试号豁免 → 全部放行
     for i in range(auth.SMS_LOGIN_MAX_PER_HOUR + 3):
-        r = client.post("/api/v1/auth/sms/login", json={"phone": TEST_PHONE, "code": "000000"})
+        r = client.post(
+            "/api/v1/auth/sms/login",
+            json={"phone": TEST_PHONE, "code": "000000", "device_id": "dev-test-exempt"},
+        )
         assert r.status_code == 200, (
             f"测试号第 {i + 1} 次登录应放行(豁免每小时限流),实际 {r.status_code}: {r.text}"
         )