认证
邮箱验证
邮箱验证成功后才创建正式账号。
注册流程
注册表单请求 /api/auth/register，携带 action 为 signup 的新 Turnstile 令牌。服务端在 verification 中保存有有效期的临时资料与 Better Auth 密码哈希，再发送邮件。此时没有正式用户、登录会话或积分。邮件被拒绝或发送异常时回滚本次临时记录，同一邮箱可以重新注册。
用户在 24 小时内打开链接。同一事务创建已验证用户与密码账号，通过账本发放 20 积分，并消耗临时记录。随后由用户登录，验证成功不会自动登录。
重发与已有账号
/check-email 页面调用 POST /api/auth/resend-verification。临时注册通过独立的 HttpOnly cookie 重发，不依赖登录会话。重发成功会替换旧链接，两次发送间隔一分钟。cookie 丢失或注册过期时，可返回注册页重试。
旧的未验证账号保持原样。在登录页输入正确密码可获取新验证邮件，但不会建立登录会话。此前发出的旧验证链接仍然支持。lib/auth.ts 已关闭 Better Auth 直接邮箱注册入口；仅修改 requireEmailVerification 不会改变临时注册流程。Google OAuth 沿用现有流程。
验证成功的链接在原有效期内再次打开仍显示成功。仅保留通过令牌哈希定位的完成凭据和用户 ID，临时资料及密码哈希会被清除，不会重复发放积分。