认证与登录流程

1. 用户提交登录凭据（MemberAuthServiceImpl.smsLogin / emailCodeLogin / socialLogin / weixinMiniAppLogin）
2. 校验验证码/社交绑定；通过后查询/创建会员并生成 JWT 令牌
3. Token 写入 Redis（auth:token:{userID}），响应返回访问令牌与刷新令牌
4. 登录成功后更新登录信息（updateUserLogin(userId, clientIP)）并记录登录日志
5. 开启 TOTP 的用户按 MemberTotpAuthService 二次校验（MFA）

服务端过滤链：TokenAuthenticationFilter 从请求解析 JWT → 构建 LoginUser 上下文（SecurityFrameworkUtils）→ Controller 用 @PreAuthorize 校验权限。

• 后台登录走 system AuthController（OAuth 授权码/密码模式），主体为 system_users。
• RBAC 权限：菜单/按钮级权限由角色关联，接口以 @PreAuthorize 权限标识为契约。
• MFA：后台管理员与高风险操作（远程格式化存储卡、修改固件参数）必须启用 TOTP；MemberTotpController 管理密钥与恢复码。
• 暴力破解防御：登录接口速率限制 + 连续失败锁定（合规规则要求）。

Java 与 Go 之间的身份采用代理认证（framework security/goauth）：

1. 客户端先经 Java 业务面认证，获得 JWT
2. Java 侧通过 GoProxyAuthenticationException / LoginUserRequestInterceptor 将身份注入 RPC Metadata
3. Go 拦截器校验 User-ID / Tenant-ID / Region 并做数据隔离判定
4. 内部服务间调用使用 EntraxInternalSignatureService（HMAC 签名）校验请求来源

实时位置通道由 Java 统一鉴权后再代理到 Go wssvr：

1. 客户端 WebSocket 握手先到达 Java（IoT 模块）
2. RealtimeHandshakeAuthInterceptor 校验登录用户与设备资源权限，把设备名/产品/设备 ID/租户写入会话属性（不信任客户端 Header）
3. RealtimeWebSocketProxyHandler 通过服务发现解析固定 Go 实例，携带内部签名（密钥 ≥32 字符、TTL ≤30 秒）建立上游连接
4. Go wssvr 校验签名与上下文；鉴权或关键依赖不可用时 fail-closed 拒绝连接