POST /auth/login

Autentica o 1º fator (email+senha) e abre o desafio de 2º fator (wave 9); só emite sessão direto com a política desligada.

Motivo: única rota que valida credencial e cria sessão persistida no auth_api; gate central pra rate-limit, ip_blocklist, dummy-compare anti-enumeration e transparent re-hash antes de dar acesso. Comportamento: (1) decoda body JSON {email, password}, 400 em vazio; (2) normaliza email em lowercase+trim (BUG QA-S9 #4 — antes o login era case-sensitive); (3) checa ip_blocklist — bloqueado retorna 401 opaco; (4) aplica bucket rate-limit (5/min por IP, 10/hora por email — hardening); (5) se repo == nil (path defensivo de teste), registra failure e retorna 401; (6) busca user; se ausente, roda DummyVerify pra igualar o tempo de um argon2id real e evitar enumeration oracle (QA Sessão 5 R3 — delta antes era ~8 ms vs ~58 ms); (7) VerifyPassword — cmpErr virou log warn com motivo detalhado, response continua 401 opaco; (8) reset dos buckets em sucesso; (9) transparent re-hash (W-031) quando VerifyPassword pede needsRehash — hash bcrypt legado ou argon2id mais fraco que o ativo vira argon2id atual; UPDATE falho vira log warn e não bloqueia login; (10) nega 403 email_not_verified se e-mail não confirmado; (11) se SecurityHandler wired e user tem TOTP confirmado, emite challenge e retorna 200 {requires_totp, challenge_id} sem cookies; (12) senão emite session (writeSession) e responde 200 com {id,email,name} + flag oldest_session_terminated quando MaxConcurrentSessions forçou revogação de sessão antiga.

Entradas: body JSON {email, password}; r.RemoteAddr e X-Forwarded-For pra derivar IP key.

Retorno: 200 desafio de 2º fator (ou, política desligada, payload user + cookies); 400 body inválido; 401 credencial inválida (com dummy compare em tempo equivalente); 403 email_not_verified; 429 com Retry-After em rate-limit; 503 mfa_unavailable; 500 em erro interno (sign, save).

{}

curl -sS -X POST 'https://auth-api.axuz.net/auth/login' \
  -H "Content-Type: application/json" \
  -d '{}'

const res = await fetch("https://auth-api.axuz.net/auth/login", {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({}),
});
if (!res.ok) throw new Error(`HTTP ${res.status}: ${await res.text()}`);
console.log(await res.json());

import os
import requests

res = requests.request(
    "POST",
    "https://auth-api.axuz.net/auth/login",
    json={},
    timeout=30,
)
res.raise_for_status()
print(res.json())