标签： 2FA

短信 OTP 限流不是简单的 HTTP 请求计数，而是以手机号与会话为双主键的身份交接治理。本文从架构师视角拆解 Node.js 场景下的 Redis 原子计数、渐进式退避、抑制名单与副作用排序，给出可落地的生产级限流决策模型与避坑指南。