eMudhra OTP 1FA 完全绕过漏洞

这个漏洞的深层问题不在 OTP 本身，而在 eMudhra 把 OTP 验证和登录状态解耦了——攻击者能直接调用验证后的 API 端点跳过整个流程。很多创业团队为了快速上线也会犯类似错误，把 session 校验放在客户端或中间层而不是强制在每次请求时走完整鉴权链。

如果你在用类似架构，建议今晚就 audit 一下自己的 auth flow：有没有哪个 /verify 之后的端点可以直接被未经验证的请求命中。这个案例的 PoC 已经公开，黑产工具化只是时间问题。