fix(auth): 登录限流改按设备(device_id)而非手机号 — 防一机狂登多号

sms-login 防刷限流键从 (手机号+IP) 改为 (device_id+IP):同一台机器换不同手机号刷登录
也受同一桶约束(5次/小时,成功/失败都计);device_id 空(老客户端)时退化为该 IP 聚一桶,仍受限。
测试号仍豁免。回归测试更新为设备维度(同设备换号仍被拦、换设备独立放行)。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

tests/test_auth.py

@@ -74,8 +74,8 @@ def test_sms_send_too_frequent(client) -> None:
     assert client.post("/api/v1/auth/sms/send", json={"phone": phone}).status_code == 429
 
 
-def test_sms_login_phone_ip_rate_limit(client, monkeypatch) -> None:
-    """防刷:同一手机号 + 同一 IP 每小时最多 SMS_LOGIN_MAX_PER_HOUR 次登录尝试,超出 429。
+def test_sms_login_device_ip_rate_limit(client, monkeypatch) -> None:
+    """防刷:同一设备(device_id) + 同一 IP 每小时最多 SMS_LOGIN_MAX_PER_HOUR 次登录尝试,超出 429。
     conftest 默认 RATE_LIMIT_ENABLED=false(内存计数跨用例累加),本用例临时打开并清空计数隔离。"""
     from app.api.v1 import auth
     from app.core import ratelimit
@@ -83,18 +83,27 @@ def test_sms_login_phone_ip_rate_limit(client, monkeypatch) -> None:
     monkeypatch.setattr(ratelimit.settings, "RATE_LIMIT_ENABLED", True)
     ratelimit._buckets.clear()  # 隔离:清掉跨用例累加的内存计数
 
-    phone = "13533153300"
-    # 前 N 次:mock 校验放行(任意 6 位数字)→ 200 登录成功
+    device = "dev-rl-A"
+    # 前 N 次故意每次换手机号、固定设备:mock 校验放行 → 200。证明限流按设备而非手机号,同设备共用一个桶
     for i in range(auth.SMS_LOGIN_MAX_PER_HOUR):
-        r = client.post("/api/v1/auth/sms/login", json={"phone": phone, "code": "123456"})
+        r = client.post(
+            "/api/v1/auth/sms/login",
+            json={"phone": f"135331533{i:02d}", "code": "123456", "device_id": device},
+        )
         assert r.status_code == 200, f"第 {i + 1} 次应放行: {r.text}"
-    # 第 N+1 次:同号同 IP 超限 → 429
-    r = client.post("/api/v1/auth/sms/login", json={"phone": phone, "code": "123456"})
+    # 第 N+1 次:同设备同 IP 超限 → 429(即便又换了个手机号)
+    r = client.post(
+        "/api/v1/auth/sms/login",
+        json={"phone": "13533153399", "code": "123456", "device_id": device},
+    )
     assert r.status_code == 429, r.text
     assert "频繁" in r.json()["detail"]
 
-    # 同 IP 换个手机号 → 独立计数(限流键含手机号、非纯 IP),仍放行
-    r = client.post("/api/v1/auth/sms/login", json={"phone": "13533153301", "code": "123456"})
+    # 同 IP 换个设备 → 独立计数(限流键含 device_id、非纯 IP/手机号),仍放行
+    r = client.post(
+        "/api/v1/auth/sms/login",
+        json={"phone": "13533153300", "code": "123456", "device_id": "dev-rl-B"},
+    )
     assert r.status_code == 200, r.text