fix(auth): 发码防刷改为按成功计数 + 新增每设备每日发码上限

- 修复:发码限流原为原子「判+记」,被单号 60s 冷却挡下的重发也占设备额度
  → 正常用户连点重发可能被误锁 1 小时。改为「先判后记、只对成功发码计数」:
  check 判在真发之前(超限直接 429、不真发),record 只在 send_code 成功后调;
  被单号冷却 / 供应商失败抛 429 时直接返回、不计数。
- 新增:同一设备(device_id)+ IP 每天最多 20 次发码上限,与原每小时 5 次两道闸并存,
  均按成功计数,叠一层日封顶挡低频长时间轰炸。
- 基建:ratelimit.py 新增 RateLimitRule + check_rate_limits / record_rate_limits
  (peek/commit 拆分);原子的 enforce_rate_limit 仍保留给登录爆破(失败也计)不变。
- 测试:补 2 个用例(冷却挡下不占额度 / 每日上限);顺手删 auth.py 一个既有的未使用 import。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

tests/test_auth.py

@@ -107,6 +107,67 @@ def test_sms_send_device_ip_rate_limit(client, monkeypatch) -> None:
     assert r.status_code == 200, r.text
 
 
+def test_sms_send_cooldown_reject_not_counted(client, monkeypatch) -> None:
+    """发码额度只算「成功发码」:被单号 60s 冷却挡下的重发(429)不占设备额度。
+    做法:同号狂发只成功 1 次、其余被冷却挡下;把小时额度设 2,证明换号后仍能再成功发 1 次
+    —— 若冷却重发也计数,额度早被那几次耗尽。"""
+    from app.api.v1 import auth
+    from app.core import ratelimit
+
+    monkeypatch.setattr(ratelimit.settings, "RATE_LIMIT_ENABLED", True)
+    monkeypatch.setattr(auth, "SMS_SEND_MAX_PER_HOUR_PER_DEVICE", 2)
+    ratelimit._buckets.clear()
+
+    device = "dev-cooldown"
+    phone_a = "13710137000"
+    # 首发成功(小时闸计 1/2)
+    assert client.post(
+        "/api/v1/auth/sms/send", json={"phone": phone_a, "device_id": device}
+    ).status_code == 200
+    # 同号连发 3 次:都被单号 60s 冷却挡下 → 429,且**不占**设备额度
+    for _ in range(3):
+        r = client.post(
+            "/api/v1/auth/sms/send", json={"phone": phone_a, "device_id": device}
+        )
+        assert r.status_code == 429, r.text
+    # 换号再发:设备额度只用了 1/2(冷却那几次没算)→ 仍放行(计到 2/2)
+    assert client.post(
+        "/api/v1/auth/sms/send", json={"phone": "13710137001", "device_id": device}
+    ).status_code == 200
+    # 又换号:此时小时闸已 2/2 → 429(反证成功发码确实各计了 1)
+    r = client.post(
+        "/api/v1/auth/sms/send", json={"phone": "13710137002", "device_id": device}
+    )
+    assert r.status_code == 429, r.text
+
+
+def test_sms_send_daily_cap(client, monkeypatch) -> None:
+    """每天发码上限(设备 + IP):成功发码累计到日上限即 429(用不同手机号绕开单号冷却)。
+    抬高小时闸单独测日闸;超限文案含「今日」以便前端提示明天再来。"""
+    from app.api.v1 import auth
+    from app.core import ratelimit
+
+    monkeypatch.setattr(ratelimit.settings, "RATE_LIMIT_ENABLED", True)
+    monkeypatch.setattr(auth, "SMS_SEND_MAX_PER_HOUR_PER_DEVICE", 100)  # 抬高小时闸,不干扰
+    monkeypatch.setattr(auth, "SMS_SEND_MAX_PER_DAY_PER_DEVICE", 3)
+    ratelimit._buckets.clear()
+
+    device = "dev-daily"
+    for i in range(3):
+        r = client.post(
+            "/api/v1/auth/sms/send",
+            json={"phone": f"13720137{i:03d}", "device_id": device},
+        )
+        assert r.status_code == 200, f"第 {i + 1} 次应放行: {r.text}"
+    # 第 4 次:同设备同 IP 当日超限 → 429
+    r = client.post(
+        "/api/v1/auth/sms/send",
+        json={"phone": "13720137999", "device_id": device},
+    )
+    assert r.status_code == 429, r.text
+    assert "今日" in r.json()["detail"]
+
+
 def test_sms_login_device_ip_rate_limit(client, monkeypatch) -> None:
     """防刷:同一设备(device_id) + 同一 IP 每小时最多 SMS_LOGIN_MAX_PER_HOUR 次登录尝试,超出 429。
     conftest 默认 RATE_LIMIT_ENABLED=false(内存计数跨用例累加),本用例临时打开并清空计数隔离。"""