登录会话仅通过 HttpOnly 安全 Cookie 保存;连续失败将暂时锁定。