忘记密码，
也能安全找回。

使用注册时绑定的手机号或邮箱接收一次性验证码，验证通过后设置新密码。为防账号枚举，无论账号是否存在，响应与文案保持一致。

有效期

验证码 5 分钟内有效，过期需重新获取

限流

每账号每日最多 5 次，重发间隔 ≥ 60 秒，5 次错误锁定 15 分钟

留痕

重置动作写入审计链，旧会话在新密码生效后全部吊销