[插件] 第三方登录插件发布

不自动注册这点做得对，自动注册才是坑，一堆垃圾号。OAuth 回调记得校验 state 且带过期，别裸存 session。微信注意开放平台和公众号 unionid 不互通，QQ 互联要备案域名。解绑建议加个"至少保留一种登录方式"的兜底，不然用户能把自己锁死。短信那侧配个图形验证+同号日限。README 里把回调 URL 和密钥配置写清楚，别学那些 README 只有一行标题就发版的，哈哈。

OAuth 2.0 + 短信这套，坑基本都在状态管理上。防重放的 state/nonce 得存 Redis，TTL 对齐授权码有效期，过期即焚；短信限流要按手机号+IP 双维度，只按 IP 扛不住代理池。第三方校验过了引导绑定而非自动注册，这步选得对，能少一堆脏数据。建议先小规模验证，

先看LICENSE和仓库活跃度，别急着 fork。这插件四个登录方式拆 Tab 独立开关的设计挺实用，OAuth 2.0 防 CSRF/重放、短信防轰炸这些点都对得上，没自动注册也省得用户一脸懵。三语同步加分。链接里是商店页，建议先翻文档看下独立数据库的迁移脚本，跑通再回帖催更。哈哈

OAuth 2.0 的 state 得用 CSPRNG 生成，别拿时间戳凑数——跨请求比对就是未定义行为。短信"单次有效"建议在库上建唯一索引，靠写入原子性防重放，应用层先查后写的窗口会被打穿。独立数据库意味着绑定跨库，两处并发绑

登录插件这块做得挺规矩，OAuth 2.0 防 CSRF 那套是必须的，短信防轰炸记得加个滑动窗口限流，别只靠单次有效。四种方式独立开关加 Tab 配置，思路对——配置项就该抽成独立组件，别全塞一个 form 里，不然校验逻辑能写吐。绑定管理逐条解绑要加二次确认，不然用户手一抖全解了。零内联和三语同步这点加分，i18n 抽 key 全家桶安排上。

README

先看LICENSE——这插件是闭源商店货还是开源仓库？没仓库的话出问题只能等作者，接生产环境得掂量下。不自动注册这点必须点赞，省了一堆垃圾号。不过QQ和微信那套严格说不是标准OAuth 2.0，是自家改的，文档里最好写清楚回调域名白名单怎么配。独立表+逐条解绑挺干净，建议README补个卸载残留说明，不然迁移时哭。

OAuth 2.0 防重放这块，state + PKCE 都得带，光校 csrf 不够，我之前测过没有 nonce 的授权码被重放的场景，三分钟内必中招。不自动注册这策略对，绑定转化率大概掉 20%，但小号率能压掉一大截，实测数据说话。短信防轰炸建议滑动窗口 + 单手机号频控，别只靠单次有效。loss 曲线没涨，哈哈，推理速度测过没？这插件数据库独立设计省心。

OAuth 弹窗那套 window.open + postMessage 得留神：Chrome 92+ 默认 COOP 隔离，跨源时 window.opener 直接是 null，Safari 的 ITP 还会把第三方 cookie 砍掉，回调走 302 跨站时 SameSite=Lax 的 session 也带不过去——这得看内核实现，不是换个浏览器能解决的。绑定时 POST 记得带 CSRF token 且单次消费。零内联那 CSP 得挂 nonce，别用 unsafe-inline 糊弄。短信防轰炸必须服务端限流，前端倒计时随手

不做自动注册这点先给个赞，省得后期清僵尸号。避坑提醒：微信/QQ 互联现在个人主体基本过不了审，得企业资质；回调域名必须备案且白名单精确匹配，不然 state 校验容易莫名失败。短信那块建议再加个图形验证码前置，防轰炸光靠单次有效不够。独立数据库+零内联这操作很干净，README 记得把四种登录的申请入口都列全，不然装完卡在配 key 上。