Web 登录页提交密码或短信登录

仅供已有 Kabala Web 管理登录页面使用，原生客户端直接调用 Passport 公共接口。先访问正常登录页建立匿名浏览器会话，并保留服务端签发的 Cookie（含签名/配套 Cookie）和页面 CSRF 值；发送 pivot-csrf-token 请求头。session_id_mindlinker_login 是当前会话 Cookie 名，不能自行构造；OpenAPI Cookie 方案用于说明既有浏览器会话，实际调试需让工具保留 Cookie jar。部署的安全中间件还可能校验 Origin/Referer。BFF 自行使用有效客户端令牌并转发 browser/web 与可信来源 IP，浏览器不提交 x-real-ip。

不传 query grant_type。BFF 按请求 mobile 是否为非空值选择短信路径；密码请求不要混入 mobile。账号/密码表单与短信 mobile/prefix 表单保持独立，不在切换模式时相互覆盖。
短信请求只提交 mobile、prefix、verifyCode；同一会话发码成功后 BFF 使用 session.smsLoginCodeSeq 转成 Passport V1 mobile_verification_code 授权。缺少该 seq 返回 400105200；授权成功即删除 seq，后续登录仍需新验证码。浏览器不能通过自传 seq 代替会话字段。
密码路径沿用 username/password/passwordEncryptType 及既有页面客户端令牌处理。两种模式成功后进入同一 setLoginInfo/SSO/Refresh Cookie 流程，返回普通成功对象，不把 Passport TokenResult 暴露为此接口响应。页面随后走既有平台回跳流程；普通员工也可进入平台，能看到的菜单和能调用的管理 API 仍由已有角色权限决定。
下游原始状态/业务错误通常透传；既有 400105202 在此登录控制器映射为 400105201。私有化短信没有匹配账号的 404105305 保持 404，不自动注册。SaaS 原有短信和密码行为保留，此文只规定私有化专项新增链路。

请求参数

Authorization

API Key

在 cookie 添加参数

session_id_mindlinker_login

示例：

session_id_mindlinker_login: ********************

API Key

在 header 添加参数

pivot-csrf-token

示例：

pivot-csrf-token: ********************

Body 参数application/json必填

示例

原账号密码登录同一浏览器会话的短信登录；没有 seq 字段

{
    "username": "example-account",
    "password": "<SHA256_PASSWORD_HEX>",
    "passwordEncryptType": 0,
    "prefix": "86"
}

请求示例代码

Shell

JavaScript

Java

Swift

PHP

Python

HTTP

Objective-C

Ruby

OCaml

Dart

application/json

登录及既有会话建立成功；浏览器继续原回跳流程。

Bodyapplication/json

示例

{
    "code": 200,
    "message": "success"
}

请求参数

请求示例代码

返回响应