Long Phú · Luồng đăng ký

Đăng ký khách hàng bằng SĐT, deviceId và mật khẩu. Auth API gộp controller, RegistrationService, các helper và SessionTokenIssuer nội bộ. Profile API gộp nghiệp vụ và kho dữ liệu riêng của profile-service.
Các POST cùng tiền tố /v1/register: /init → /request-otp → /verify-otp → /profile → /accept-consent. Mũi tên rút gọn tên endpoint; phản hồi thành công được bọc trong NetworkResponse. Nguồn: RegisterController.java:37–140; ApiResponseMapper.java:27–31.
Qua gateway theo cấu hình mặc định: /gateway/authentication-service/v1/register/...; gọi thẳng Auth: /api/authentication/v1/register/... . Gateway được lược khỏi lifeline. Nguồn: gateway-service/src/main/resources/application.yml:33–38; authentication-service/src/main/resources/application.yaml:3.
Nguồn tại commit acd933a. Khoảng cách dọc thể hiện thứ tự lời gọi, không phải thời gian đo thực tế. Nội dung tiếng Việt; một số nút điều khiển Archify dùng tiếng Anh.

POST /init nhận mật khẩu tối thiểu 8 ký tự, có chữ hoa, số và ký tự đặc biệt. Auth băm mật khẩu và lưu vào draftData của phiên INIT; chưa gửi SMS. Nguồn: InitRegistrationRequest.java:8–16; RegistrationServiceImpl.java:78–114.
POST /request-otp chỉ đọc mã đã tạo rồi gửi SMS. OTP đúng tại /verify-otp → lưu OTP_VERIFIED → consume challenge → lưu tài khoản mới PENDING với hash mật khẩu. Tài khoản ENABLED đã tồn tại được giữ nguyên trạng thái. Nguồn: RegistrationServiceImpl.java:118–160,252–262,379–403.
POST /profile chỉ cập nhật bản nháp và bước PROFILE_FILLED. Đến /accept-consent mới lưu ENABLED, tạo/cập nhật hồ sơ bên Profile, ghi TNC, lưu COMPLETED rồi cấp cặp JWT. Nguồn: RegistrationServiceImpl.java:268–365.
Đường chính hiện tại: INIT → OTP_VERIFIED → PROFILE_FILLED → COMPLETED. PASSWORD_SET vẫn có trong enum nhưng không phải một bước POST riêng của RegisterController hiện tại. Nguồn: RegistrationStep.java:3–15; RegisterController.java:37–109.

Auth gọi POST /v1/internal/profiles, rồi POST /v1/internal/profiles/{userId}/accept-tnc qua Feign; TNC gửi kèm version, product GENERAL và thời điểm chấp thuận. Nguồn: ProfileFeignClient.java:19–25; RegistrationSessionSupport.java:77–110.
Profile tạo hoặc cập nhật hồ sơ theo userId. TNC ghi thêm bản ghi với revisionCount tăng từ bản trước của cùng userId/product. Nguồn: UserProfileServiceImpl.java:65–74; AcceptTncServiceImpl.java:24–48.
Auth tạo sessionId và cặp JWT qua SessionTokenIssuer, lưu hash refresh vào CSDL rồi cache và chỉ mục ở Redis. acceptConsent gọi issue với deviceId=null; luồng đăng ký này chưa bind public key thiết bị. Nguồn: RegistrationServiceImpl.java:352–354; SessionTokenIssuerImpl.java:24–30; RefreshTokenService.java:55–111.
Các mũi tên CSDL thể hiện lời gọi đọc/save trong transaction Auth. Hai lời gọi HTTP tới Profile hoàn tất ở dịch vụ riêng; sơ đồ không xác nhận tính nguyên tử giữa các dịch vụ.

Thiết bị bị giới hạn → DEVICE_LOCKED (429). SĐT đã có tài khoản và không có phiên ACTIVE → PHONE_ALREADY_REGISTERED (409). Phiên ACTIVE đã qua INIT → REGISTRATION_INCOMPLETE (409). Nguồn: RegistrationServiceImpl.java:49–74; ErrorCode.java:44–48,56–59.
Không có phiên ACTIVE → SESSION_NOT_FOUND (404). /profile yêu cầu bước ≥ OTP_VERIFIED; /accept-consent yêu cầu bước ≥ PROFILE_FILLED; bước chưa đủ → SESSION_INVALID_STEP (400). Nguồn: RegistrationSessionSupport.java:45–52; RegistrationServiceImpl.java:274–276,302–304; ErrorCode.java:60–64.
OTP hết hạn/không có, sai SĐT hoặc sai mã → INVALID_OTP (401); đạt giới hạn thử → DEVICE_LOCKED (429). SMS ném exception → SERVER_ERROR (500). Nguồn: RegistrationServiceImpl.java:123–150,212–249; RedisOtpChallengeManager.java:117–146; ErrorCode.java:38,56–59,71.
Feign tạo Profile hoặc ghi TNC lỗi → PROFILE_SERVICE_UNAVAILABLE (503), dừng trước lưu COMPLETED và cấp token. Hồ sơ có thể đã được tạo trước khi ghi TNC thất bại. Nguồn: RegistrationSessionSupport.java:77–110; RegistrationServiceImpl.java:339–354; ErrorCode.java:65–68.

POST /v1/register/resend-otp nhận phoneNumber + challengeId; yêu cầu phiên ACTIVE và SĐT khớp challenge, tạo mã mới rồi gửi SMS. Nguồn: RegisterController.java:73–82; RegistrationServiceImpl.java:164–205.
Giới hạn theo challenge mặc định: TTL 300 giây, 3 lần gửi lại, 5 lần thử mã. Gửi lại giữ TTL còn lại khi TTL hợp lệ. Các biến môi trường có thể thay đổi giới hạn. Nguồn: application.yaml:63–65; RedisOtpChallengeManager.java:149–165.
Ngoài bộ đếm challenge, DeviceRateLimitService dùng ngưỡng 10 lần trong cửa sổ 10 phút: init tính theo deviceId; OTP lỗi tính theo SĐT. Nguồn: DeviceRateLimitService.java:15–54; RegistrationServiceImpl.java:51–76,212–249.
Brandname SMS dùng khi enabled=true; mặc định cấu hình false dùng Noop và mã dự phòng. Dispatcher trả bình thường chưa chứng minh điện thoại đã nhận SMS. Nguồn: SmsDispatcherConfiguration.java:14–28; NoopSmsDispatcher.java:15–26; BrandnameSmsDispatcher.java:59–71; application.yaml:57,62.

GET /v1/register/resume-point?phoneNumber=... đọc phiên ACTIVE mới nhất rồi trả currentStep và nextStep; không tạo OTP hay cấp token. Nguồn: RegisterController.java:85–88; RegistrationServiceImpl.java:369–376; RegistrationSessionSupport.java:37–52.
Gọi lại /init có thể thay bản nháp khi phiên vẫn ở INIT; nếu đã qua INIT thì trả REGISTRATION_INCOMPLETE để ứng dụng tiếp tục từ bước đang lưu. Nguồn: RegistrationServiceImpl.java:57–97.
Đăng nhập bằng mật khẩu khi phiên còn ở OTP_VERIFIED / PROFILE_FILLED / PASSWORD_SET có thể trả COMPLETE_REGISTRATION_REQUIRED để quay lại hoàn tất đăng ký. Nguồn: LoginServiceImpl.java:198–249; AuthController.java:178–179.