Long Phú · Luồng đăng nhập

Luồng khách hàng bằng SĐT + mật khẩu; Auth API gộp controller và các service nội bộ. Phiên / JWT thuộc cùng authentication-service.
Các đường dẫn rút gọn trên mũi tên: POST /v1/login, /v1/login/request-otp, /v1/verify-login-otp. Body phản hồi được bọc trong NetworkResponse.
Qua gateway: /gateway/authentication-service/v1/... theo API_PATH mặc định; trực tiếp service: /api/authentication/v1/... . Gateway được lược khỏi các lifeline.
Nguồn: AuthController.java:48–94,184–197; ApiResponseMapper.java:27–31; gateway-service/src/main/resources/application.yml:33–38; application.yaml:3. Đây là thứ tự lời gọi, không phải thời gian đo thực tế.

POST /v1/login chỉ tạo challenge Redis khi đi nhánh OTP; chưa gửi SMS và chưa cấp token. Nguồn: LoginServiceImpl.java:252–272.
POST /v1/login/request-otp đọc mã đã tạo rồi gọi SmsDispatcher.send; không tạo mã mới. Nguồn: LoginOtpServiceImpl.java:40–75.
OTP đúng và SĐT khớp challenge → đọc hồ sơ → nếu có deviceId + public key thì bindOrRotate → tạo cặp JWT và lưu phiên → consume challenge. Nguồn: LoginOtpServiceImpl.java:115–175.
CSDL lưu hash refresh token và thông tin phiên; Redis lưu cache theo token, phiên và người dùng. Lỗi ghi Redis ngăn issue trả về bình thường. Nguồn: RefreshTokenService.java:55–111.

Không có SĐT: PHONE_NOT_REGISTERED (404); sai mật khẩu: INVALID_PASSWORD (401); tài khoản không ENABLED: ACCOUNT_DISABLED (403). Nguồn: CredentialValidator.java:43–79; ErrorCode.java:34–50.
Phiên đăng ký ACTIVE ở OTP_VERIFIED / PROFILE_FILLED / PASSWORD_SET, cùng mật khẩu hợp lệ → 200 COMPLETE_REGISTRATION_REQUIRED; dừng nhánh đăng nhập. Nguồn: LoginServiceImpl.java:198–249; AuthController.java:178–179.
Rủi ro DENY → UNAUTHORIZED (401), không cấp challenge/token. Nguồn: LoginServiceImpl.java:101–127; RiskEngineImpl.java:8–21.
Challenge hết hạn/không có, sai SĐT hoặc OTP sai → INVALID_OTP (401); chạm giới hạn thử → DEVICE_LOCKED (429). Exception gửi SMS → SERVER_ERROR (500). Nguồn: RedisOtpChallengeManager.java:104–146; LoginOtpServiceImpl.java:40–62,115–138; ErrorCode.java:38,56–59,71.

Phần cuối là một lần đăng nhập KHÁC thay cho nhánh OTP, không chạy sau khi đăng nhập thành công ở bước 3.
Vẫn kiểm tra mật khẩu và rủi ro; chỉ rẽ nhánh khi có signedChallenge và tìm thấy thiết bị chưa thu hồi. Timestamp lệch tối đa 90 giây, nonce chưa dùng và chữ ký hợp lệ mới cấp phiên. Nguồn: LoginServiceImpl.java:81–133; DeviceSignatureVerifier.java:41–77.
Chữ ký không hợp lệ trả UNAUTHORIZED, không tự chuyển sang OTP. Các thao tác lưu phiên/Redis trong nhánh này dùng cùng SessionTokenIssuer như bước 3. Nguồn: SignedLoginHandler.java:31–71.
Có nhánh bypass OTP cho SĐT kiểm thử theo cấu hình sau khi mật khẩu/rủi ro đã qua; không phải đường mặc định. Nguồn: LoginServiceImpl.java:146–148.

SMS thật dùng BrandnameSmsDispatcher khi app.brandname.sms.enabled=true; nếu tắt thì Noop chỉ ghi log, không gửi SMS. Giá trị mặc định cấu hình là false. Nguồn: SmsDispatcherConfiguration.java:14–28; application.yaml:54–65.
Dispatcher trả về không có exception không chứng minh điện thoại đã nhận SMS; code Brandname ghi log responseCode nhưng không kiểm tra mã thành công. Nguồn: BrandnameSmsDispatcher.java:59–71.
POST /v1/login/resend-otp tái tạo mã và tăng bộ đếm gửi lại; giới hạn mặc định: TTL 300 giây, 3 lần gửi lại, 5 lần thử. Biến môi trường có thể thay đổi các giá trị này. Nguồn: LoginOtpServiceImpl.java:78–110; RedisOtpChallengeManager.java:149–165; application.yaml:63–65.
Sơ đồ dựa trên commit acd933a; chưa đối chiếu môi trường chạy thực tế. Nội dung tiếng Việt, một số nút điều khiển Archify dùng tiếng Anh.