Опишите unhappy flow сценария авторизации через OTP (телефон или email в одном поле). Какие ошибки возможны, как их описывать?

Unhappy flow OTP включает неверный идентификатор, сбой доставки, просроченный или неверный код, лимит попыток, повторную отправку и потерю сети. Ошибки должны быть понятными и не раскрывать существование аккаунта.

Разделите ошибки формата и ошибки подтверждения. Для каждой задайте состояние UI, сообщение, возможность повтора и таймер. Код ограничивают по сроку и попыткам, успешное использование делает его недействительным. Повторная отправка и старые коды имеют явные правила; смена телефона или email требует нового challenge. Не логируйте OTP и токены. Ограничивайте перебор и злоупотребление отправкой, а при сетевом сбое не создавайте несколько активных сценариев случайно.

Источник: cheatsheetseries.owasp.org.