feat: 文档更新

README.md

@@ -423,10 +423,10 @@ flowchart LR
 | 修改自身信息 (updateInfo) | 已登录即可 | 仅允许修改昵称/头像/邮箱/手机，userId 从 JWT 获取 |
 | 用户注销 (logout) | 已登录即可 | 递增 tokenVersion，所有已签发令牌即时失效 |
 | **公开接口** | | |
-| 产品端登录 (login) | 无需鉴权 | cap.js 未启用时需携带图片验证码；超级管理员被拒绝，productCode 必传 |
-| 产品端 cap.js 登录 (auth/login/cap) | 无需鉴权 | cap.js 必须已启用；提交 cap token 完成人机验证后登录 |
-| 管理后台登录 (adminLogin) | 无需鉴权 | cap.js 未启用时需携带图片验证码；需验证 managementKey |
-| 管理后台 cap.js 登录 (adminLogin/cap) | 无需鉴权 | cap.js 必须已启用；提交 cap token 完成人机验证后登录 |
+| 产品端登录 (login) | 无需鉴权 | cap.js 已启用时拒绝（必须走 login/cap）；未启用时需携带图片验证码；超级管理员被拒绝，productCode 必传 |
+| 产品端 cap.js 登录 (auth/login/cap) | 无需鉴权 | cap.js 未启用时拒绝（必须走 login）；提交 cap token 完成人机验证后登录 |
+| 管理后台登录 (adminLogin) | 无需鉴权 | cap.js 已启用时拒绝（必须走 adminLogin/cap）；未启用时需携带图片验证码；需验证 managementKey |
+| 管理后台 cap.js 登录 (adminLogin/cap) | 无需鉴权 | cap.js 未启用时拒绝（必须走 adminLogin）；提交 cap token 完成人机验证后登录 |
 | 获取图片验证码 (captcha/get) | 无需鉴权 | cap.js 未启用时前端调用此接口展示图片验证码 |
 | 获取 cap.js 端点 (capjs/endpoint) | 无需鉴权 | 返回 cap.js 端点 URL；空串代表 cap.js 未启用，前端降级为图片验证码 |
 | 刷新令牌 | 无需鉴权 | 令牌轮转：旧令牌即时失效，返回全新令牌对；产品禁用时拒绝 |
@@ -795,7 +795,7 @@ Content-Type: application/json
 - 产品必须处于启用状态，否则拒绝登录
 - 用户必须是该产品的有效成员（`status=1`），且账号未冻结
 - 受 IP 维度限流保护，防止暴力破解；仅对已存在的用户名消耗限流配额
-- **验证机制二选一**：cap.js 启用时无需图片验证码，直接使用 `/auth/login`；cap.js 未启用时必须携带图片验证码，或改用 `/auth/login/cap`（但此时 cap.js 未启用该路径也会被拒绝）
+- **验证机制互斥**：cap.js 启用时此接口拒绝请求（返回 400），必须走 `/auth/login/cap`；cap.js 未启用时必须携带图片验证码（captchaId + captchaCode）
 
 | 字段 | 类型 | 必填 | 说明 |
 | ------ | ------ | ------ | ------ |
@@ -845,7 +845,7 @@ Content-Type: application/json
 - 必须传入与服务端配置一致的 `managementKey`，该密钥仅管理后台前端持有，不可泄露给产品端
 - `managementKey` 校验在限流之前执行，无效密钥不会消耗限流配额，防止 DoS 攻击
 - 受 IP 维度限流保护
-- **验证机制二选一**：cap.js 启用时无需图片验证码；cap.js 未启用时必须携带图片验证码，或改用 `/auth/adminLogin/cap`
+- **验证机制互斥**：cap.js 启用时此接口拒绝请求（返回 400），必须走 `/auth/adminLogin/cap`；cap.js 未启用时必须携带图片验证码（captchaId + captchaCode）
 
 | 字段 | 类型 | 必填 | 说明 |
 | ------ | ------ | ------ | ------ |