连续输错 5 次会锁定 15 分钟;登录会话仅通过 HttpOnly 安全 Cookie 保存。