把登录做轻，把钱的判断做重。

当前版本使用邮箱密码、HttpOnly Cookie 会话、服务端限流和可选 Turnstile 防刷。