Use when implementing a new be…

# 登录接口Bug修复：连续5次输错密码未锁定账号

一、问题复现（虚构案例）

用户 [email protected] 在 /api/login 连续输入错误密码10次，接口始终返回 401，账号状态仍为 NORMAL，可继续尝试登录。经排查：LoginService.login() 中每次失败仅返回错误，未调用失败计数与锁定逻辑。

二、失败测试用例（先写，红灯）

```java

@Test

void should_lock_account_after_5_failed_attempts() {

// Given: 账号正常，密码错误

String email = "[email protected]";

// When: 连续输错5次

for (int i = 0; i < 5; i++) {

loginService.login(email, "wrongPwd");

}

// Then: 第5次失败后账号被锁定

Account account = accountRepo.findByEmail(email);

assertEquals(AccountStatus.LOCKED, account.getStatus());

// Then: 第6次尝试即使密码正确也返回423

BusinessException ex = assertThrows(BusinessException.class,

() -> loginService.login(email, "correctPwd"));

assertEquals(ErrorCode.ACCOUNT_LOCKED, ex.getErrorCode());

}

@Test

void should_reset_counter_after_successful_login() {

for (int i = 0; i < 4; i++) loginService.login("[email protected]", "wrong");

loginService.login("[email protected]", "correctPwd"); // 第5次成功

Account a = accountRepo.findByEmail("[email protected]");

assertEquals(0, a.getFailCount()); // 计数清零

assertEquals(AccountStatus.NORMAL, a.getStatus()); // 未锁定

}

```

三、修复代码（绿灯）

```java

public LoginResult login(String email, String password) {

Account account = accountRepo.findByEmail(email);

if (account == null) throw new BusinessException(ErrorCode.ACCOUNT_NOT_FOUND);

if (account.getStatus() == AccountStatus.LOCKED)

throw new BusinessException(ErrorCode.ACCOUNT_LOCKED); // 423

if (!passwordEncoder.matches(password, account.getPass