豆包 2.24.10：登录认证与所依赖的服务接口

分析日期：2026-10-29。目标为本机 /Applications/Doubao.app，Bundle ID com.bot.neotix.doubao，版本 2.24.10；Chromium Framework 目录版本 147.0.7727.149。

阅读入口：第 4 节为业务调用接口，第 7 节为 SDK 候选路由；第 9 节补齐启动恢复、个人/企业切换、Native 新旧分支、退出、移除与失败恢复。方案比较见两产品对比，新建平台设计见推荐接口文档。

1. 结论与“完整”的范围

豆包发行本地前端通过 Passport WebInterfaceSdk 进行短信、扫码和第三方身份登录，以携带 Cookie 的会话请求为基础，同时包含 Passport CSRF、安全签名、多账户会话标识与会话心跳。没有证据把整个主登录简单归类成 JWT 或标准 OAuth2；部分第三方登录及开放授权功能确有 OAuth 风格参数和流程。

本文件完整登记已保存并逐方法审阅的业务 Passport 门面 78889.js 的认证相关 HTTP 调用，展开其 Web/isInApp 分支，并补充心跳和飞书身份探测。附录完整登记实际加载 Web SDK 的 Web 路由常量。两者分开：业务封装存在调用点、SDK仅提供能力都不是运行时执行证明，也不表示每条路径在中国桌面版当前配置中必定展示。

这里的“完整”是上述发行代码边界内的调用清单，不是远端 Passport 服务全部接口，也不是完整服务端 OpenAPI Schema。业务代码透传的输入、隐藏 Native 桥接、验证码风控动态接口、远程配置的第三方地址无法靠此静态样本穷尽。文档将未知保持为未知，而不补写推测字段。

2. 调用层次与概念

sequenceDiagram
    participant UI as 豆包内置登录界面
    participant P as Passport业务门面
    participant SDK as WebInterfaceSdk
    participant S as Passport服务
    UI->>P: sendCode(mobile)
    P->>SDK: login.sendCode
    SDK->>S: POST /passport/web/send_code/
    UI->>P: smsLogin(mobile,code)
    P->>SDK: login.smsLogin
    SDK->>S: POST /passport/web/sms_login/
    S-->>SDK: 登录结果及浏览器处理的会话信息
    P->>SDK: login.checkLogin
    SDK->>S: GET /passport/account/info/v2/
    Note over SDK,S: 携带Cookie；CSRF与多会话、安全参数由SDK处理
    UI->>SDK: SessionTokenBeat.start
    SDK->>S: /passport/token/beat/web/?scene=boot

Cookie 是凭证的存取/传输载体，不能据此推出其内容是 JWT 或随机会话ID。此分析未读取真实Cookie或用户数据库，也未获得 Set-Cookie 的 Secure/HttpOnly/SameSite/寿命属性。
CSRF token 用于校验跨站请求来源，不是登录身份凭证的同义词。FlowCookieService 明确生成、读取并比较 oauth_token / oauth_token_v2，因此这两个名字在该模块的用途是CSRF，不能仅看名称认定其为 OAuth access token。
OAuth2 是授权协议；JWT 是令牌格式；Passport SDK 是客户端账号组件；SessionTokenBeat 是会话状态/心跳机制。它们不属于同一分类维度。
多会话标识 x-tt-multi-sids 在启用 enableMultiSids 且配置 storage 时，从响应头写回存储并在后续请求头携带。它不等同于 WorkBuddy 的 Bearer accessToken。

3. 证据与请求/响应约定

3.1 代码入口

证据	观察	定位
DB-E01	业务 createPassportSDK，启用 enableMultiSids；562718 动态加载48515的518128导出	78889.js:1754，同文件末尾loader
DB-E02	SDK WebInterfaceSdk 组装 login/qrcodeLogin/bind/rebind/verify/accountSwitch	48515.js:6465
DB-E03	withCredentials=true，CSRF Cookie与请求头名称	48515.js:1732
DB-E04	x-tt-multi-sids请求/响应拦截器	48515.js:1303
DB-E05	FlowCookieService 的oauth_token用途	78889.js:589
DB-E06	心跳业务配置scope=web、host=https://www.doubao.com并启动SessionTokenBeat	83746.js:1900
DB-E07	心跳SDK默认10分钟，活动调度，401回调	93485.js:5067

3.2 通用请求头 H0

H0表示采用业务配置与SDK上下文，不代表每条接口都已经捕获到以下请求头：

项	代码观察	必需性边界
Cookie	Axios withCredentials=true；Native fetch adapter存在	具体Cookie名、格式、服务端是否必填未知
x-tt-passport-csrf-token	从passport_csrf_token或passport_csrf_token_default取值；亦配置Axios XSRF	客户端有生成/发送逻辑；服务端严格校验条件未知
x-tt-multi-sids	multi_login=1；storage存在时读写同名头	默认业务enableMultiSids=true；存储为空时可不带
Content-Type	SDK常规请求为application/x-www-form-urlencoded	上传等特殊请求可能不同
x-tt-passport-aid-sign及安全组件头	有基于aid/path/time的签名及安全插件逻辑	不把公开发行appKey当用户密钥；服务端风控要求未知
公共参数	aid、account_sdk_source、SDK版本、device_platform、设备/地区/语言等由配置和拦截器添加	完整运行时取值依配置；业务逻辑字段与线上的编码值不同

表中 Q 是显式 params/query，B 是显式 data；GET的SDK data会经请求拦截器整理为查询参数。SDK会对部分手机、验证码、密码字段进行编码，不应把逻辑参数表直接当抓包原文。e透传 是接口封装没有展开输入类型，不表示服务端接受任意JSON。

3.3 通用响应 R0 与错误

R0：Web SDK通常按 message === "success" 判断成功，取 data 作为payload；业务 passportServiceWrapper 将其原样返回，或将Passport错误转换为统一异常。SDK还会处理 x-tt-logid / log_id 和响应头。各接口没有被这里的封装定义为完整JSON Schema；除另列的消费字段外，payload结构、必填/可选、枚举和服务端状态码均未知。

错误路径：78889.js:1799 将 error_code / description 包装；78889.js:1811 做提示、埋点、抛出。disableDefaultErrorText 仅影响默认提示，不代表忽略错误。SDK风控插件可处理二次验证配置、验证码与重试；不能把失败都简化为HTTP 401。

4. 业务调用接口完整清单

以下每行是一个业务操作分支；同方法/同路径可因type、调用上下文不同出现多行。H0、R0见上一节；特有信息列在行内。方法为“GET默认”时调用处未显式填method，SDK默认GET，尚无抓包验证。

短信与登录

编号	操作与触发	方法 / 路径	逻辑输入	响应/请求头差异	代码证据
DB-001	`sendCode`：短信登录页	POST `/passport/web/send_code/`	B:mobile,type=24,mix_mode=1,is6Digits=1；SDK编码mobile/type	H0；R0	78889.js:2114
DB-002	`_smsLogin`：短信提交	POST `/passport/web/sms_login/`	B:mobile,code,login_only=false；SDK编码mobile/code	H0；R0	78889.js:2148
DB-003	`_checkLogin`：启动或检查登录	GET `/passport/account/info/v2/`	无显式业务参数，带会话	H0；R0	78889.js:2243
DB-004	`sendCodeInApp`：isInApp备用分支	POST `/passport/mobile/send_code/v1/`	Q:type,is6Digits=1；编码type；mobile在此请求未传入	H0；R0	78889.js:1874
DB-005	`sendCodeWithSDK`：安全验证/移动分支	POST `/passport/mobile/send_code/`	B:type,mobile,ticket,encrypt_uid,is6Digits=1；编码type	H0；R0	78889.js:2002
DB-006	`openSendCode`：开放授权验证	POST `/passport/open/send_code`	Q:type=27,mobile,is6Digits=1,ticket；编码type/mobile/ticket	H0；R0	78889.js:1906
DB-007	`authTicketSms`：短信换授权票据	POST `/passport/open/web/auth_ticket/sms`	Q:mobile,code,register_new=true；编码mobile/code	H0；R0	78889.js:1944
DB-008	`ticketAuth`：授权票据换授权结果	POST `/passport/open/web/ticket/auth/`	B:auth_verify_ticket,client_key,redirect_uri,scope=user_info,device_platform=web,source=web,response_type=code,aid	H0；R0	78889.js:1973
DB-009	`ticketLogin`：业务票据登录	POST `/passport/user/ticket_login/`	B:biz_ticket,client_id,biz_scene,code_verifier	H0；R0	78889.js:2895

三方授权

编号	操作与触发	方法 / 路径	逻辑输入	响应/请求头差异	代码证据
DB-010	`_authLogin`：第三方登录	POST `/passport/web/auth/login/`	B:传入三方结果及profile_key,login_only=false；SDK字段包括platform_app_id等	H0；R0	78889.js:2180
DB-011	`bindWithMobileLogin`：三方登录并绑定手机	POST `/passport/web/auth/bind_with_mobile_login/`	B:传入e及platform_app_id,need_mobile,check_mobile,change_bind,access_token	H0；R0	78889.js:2215
DB-012	`authorize`：Web授权	POST `/passport/web/auth/authorize/`	B:code,access_token,access_token_secret,platform,platform_app_id,redirect_uri	H0；R0	78889.js:2377
DB-013	`authorizeInApp`：isInApp授权	POST `/passport/auth/authorize/`	B:code,access_token,access_token_secret,platform,platform_app_id,redirect_uri	H0；R0	78889.js:2411
DB-014	`verifyThirdAuth`：三方授权验证	POST `/passport/auth/verify/`	B:调用方e透传，已见platform,platform_app_id	H0；R0	78889.js:2445
DB-015	`authBind`：绑定第三方身份	POST `/passport/web/auth/bind/`	B:platform_app_id,code,access_token,access_token_secret,openid,profile_key,state,extra_params	H0；R0	78889.js:2574
DB-016	`authUnbind`：解绑第三方身份	POST `/passport/web/auth/unbind/`	B:platform,extra_params	H0；R0	78889.js:2596
DB-017	`webLarkLogin`：飞书企业登录	POST `/passport/doubao/web/lark/login/`	B:e与extra_params合并	H0；R0	78889.js:2817
DB-018	`bindConnectorPreferedLark`：关联首选飞书身份	POST `/passport/doubao/web/bind_prefered_lark/`	B:e与extra_params合并	H0；R0	78889.js:2837
DB-019	`unbindConnectorPreferedLark`：取消首选飞书身份	POST `/passport/doubao/web/unbind_prefered_lark/`	无显式业务体	H0；R0	78889.js:2858
DB-020	`webAuthUpdateAuthInfo`：更新授权信息	POST `/passport/doubao/web/update_authorize_info/`	B:e与extra_params合并	H0；R0	78889.js:2875
DB-021	`userBizAuth`：已登录用户业务授权	POST `/passport/user/biz_auth/`	B:e透传	H0；R0	78889.js:2997
DB-022	`getOauthToken`：业务OAuth令牌能力；不据此判定主会话OAuth	POST `/passport/doubao/get_oauth_token/`	B:e透传	H0；R0	78889.js:3015
DB-023	`getOAuthCode`：获取开放授权码	POST `/passport/open/web/auth/`	B:client_key,redirect_uri,scope=user_info,device_platform=web,source=web,response_type=code,aid	H0；R0	78889.js:3033
DB-024	`anonymityUserBizAuth`：匿名用户业务授权	POST `/passport/anonymity_user/biz_auth/`	B:e透传	H0；R0	78889.js:3060
DB-025	`checkLarkAuth`：飞书身份授权状态	POST `/passport/flow/lark_user/check/`	B:lark_user_id,lark_tenant_id	H0；R0	78889.js:3077
DB-072	`fetchFeishuDoubaoUser`：飞书关联身份探测	GET `https://accounts.feishu.cn/accounts/mix/v1/user/doubao`	无显式业务参数；可替换host；credentials=include	跨域Cookie，fetch(mode=cors,credentials=include)；专用分支区分HTTP、JSON解析、业务结果；不是R0统一SDK处理	68161.js:7288

扫码

编号	操作与触发	方法 / 路径	逻辑输入	响应/请求头差异	代码证据
DB-026	`getQrcode`：扫码登录生成二维码	GET `/passport/web/get_qrcode/`	Q:next=https://www.doubao.com	H0；R0	78889.js:2937
DB-027	`checkQrconnect`：轮询扫码登录结果	GET `/passport/web/check_qrconnect/`	Q:next=https://www.doubao.com,token	H0；R0	78889.js:2951
DB-028	`changeCodeStatus`：移动侧标记扫描状态	POST `/passport/mobile/scan_qrcode/`	Q:e透传	H0；R0	78889.js:2965
DB-029	`confirmLogin`：移动侧确认扫码登录	POST `/passport/mobile/confirm_qrcode/`	Q:e透传，已见decision	H0；R0	78889.js:2981

手机与验证

编号	操作与触发	方法 / 路径	逻辑输入	响应/请求头差异	代码证据
DB-030	`validateCode`：password.validateMobile	POST `/passport/web/validate_code/`	B:code,type=22；SDK编码code/type	H0；R0	78889.js:2276
DB-031	`validateCodeInApp`：isInApp验证码校验	POST `/passport/mobile/validate_code/`	B:type,code,encrypt_uid；编码type/code	H0；R0	78889.js:2290
DB-032	`changeMobileWithSDK`：移动SDK换绑	POST `/passport/mobile/change/v1/`	Q:mobile,ticket,code；编码mobile/code	H0；R0	78889.js:2047
DB-033	`bindNewMobileWithSDK`：移动SDK绑定	POST `/passport/mobile/bind/v1/`	Q:passport_support_flow=verify,use_new_token_expire_rules=1；B:mobile,code,unbind_exist=0	H0；R0	78889.js:2078
DB-034	`sendCodeToOldMobile`：验证旧手机	POST `/passport/web/send_code/`	B:mobile,type=22或28,is6Digits=1；use_bind_mobile决定type	H0；R0	78889.js:2612
DB-035	`validateOldMobile`：验证旧手机验证码	POST `/passport/web/validate_code/`	B:code,type=22或28；use_bind_mobile决定type	H0；R0	78889.js:2645
DB-036	`sendCodeToNewMobile`：验证新手机	POST `/passport/web/send_code/`	B:mobile,old_mobile,type=20,ticket,is6Digits=1	H0；R0	78889.js:2661
DB-037	`rebindMobile`：换绑手机	POST `/passport/web/mobile/change/`	B:mobile,code,ticket,kick_other默认0	H0；R0	78889.js:2689
DB-038	`bindSendCode`：绑定手机前发码	POST `/passport/web/send_code/`	B:mobile,type=17,unbind_exist,is6Digits=1	H0；R0	78889.js:2713
DB-039	`bindMobile`：绑定手机	POST `/passport/web/mobile/bind/`	B:mobile,code,password,verify_ticket,unbind_exist,type=8	H0；R0	78889.js:2741
DB-040	`verifyAccountPassword`：Web密码验证	POST `/passport/web/account/verify/`	B:password；SDK补account和encrypt_uid空值、user_login_version=1	H0；R0	78889.js:3155
DB-041	`verifyAccountPassword`：isInApp密码验证	POST `/passport/account/verify/`	B:password,encrypt_uid；编码password	H0；R0	78889.js:3155

撤销确认

编号	操作与触发	方法 / 路径	逻辑输入	响应/请求头差异	代码证据
DB-042	`userCheck`：取消/账户安全流程用户检查；不能等同普通logout	POST `/passport/cancel/user_check/`	无显式业务体	H0；R0	78889.js:2259
DB-043	`cancelConfirm`：Web撤销流程确认	POST `/passport/web/cancel/confirm/`	B:value_ticket,token,cancel_ticket，SDK可选abandon	H0；R0	78889.js:2311
DB-044	`cancelConfirmInApp`：isInApp撤销流程确认	POST `/passport/cancel/confirm/`	Q:token,value_ticket,cancel_ticket	H0；R0	78889.js:2327
DB-045	`cancelCheck`：Web轮询撤销结果	GET `/passport/web/cancel/check/`	B逻辑:value_ticket；SDK在GET传输层转查询	H0；R0	78889.js:2345
DB-046	`cancelCheckInApp`：isInApp查询撤销结果	POST `/passport/cancel/check/`	B:value_ticket	H0；R0	78889.js:2359

会话与账户

编号	操作与触发	方法 / 路径	逻辑输入	响应/请求头差异	代码证据
DB-047	`logout`：显式退出；由SDK默认GET	GET默认 `/passport/web/logout/`	Q逻辑:next,need_redirect=0,aid,account_sdk_source,passport_jssdk_version,is_from_ttaccountsdk	H0；R0	78889.js:2465
DB-048	`switchAccount`：多账户切换	POST `/passport/web/account/switch/`	B:e与extra_params合并；旧切换调用方明确sec_to_user_id=目标sec_id（33721.js:3628）；Native新链见第9节	H0；R0	78889.js:3178
DB-049	`accountList`：多账户列表	GET `/passport/account/list/`	Q:scene默认1，其余e与extra_params	H0；R0	78889.js:3189
DB-050	`accountRemove`：移除已保存账户	POST `/passport/account/remove/`	B:e与extra_params；业务处已见removed_user_id	H0；R0	78889.js:3203
DB-071	`SessionTokenBeat.tokenBeat`：启动以及用户活动调度；默认600000ms	GET默认 `/passport/token/beat/web/`	Q:scene=boot/polling/active；公共aid,did,iid,region,language等	H0；R0；业务error_code=401触发logoutCallBack	93485.js:5135

设备与安全

编号	操作与触发	方法 / 路径	逻辑输入	响应/请求头差异	代码证据
DB-051	`getDeviceList`：会话设备列表	POST `/passport/safe/login_device/list/`	B:need_group_app_id,need_check_session_login_status,include_web	H0；R0	78889.js:3095
DB-052	`deleteDeviceList`：删除/撤销设备记录，服务端细节未知	POST `/passport/safe/login_device/del/`	B:e透传	H0；R0	78889.js:3121
DB-053	`confirmSafetyAlert`：确认安全提示	POST `/passport/doubao/safety_alert/confirm/`	B:e透传	H0；R0	78889.js:3138
DB-054	`mfaSendPush`：Web安全推送	POST `/passport/web/send_push/`	B:verify_way,encrypt_uid,scene,last_token,copywriting_key,action默认1	H0；R0	78889.js:3216
DB-055	`mfaSendPush`：isInApp安全推送	POST `/passport/device/send_push/`	同上	H0；R0	78889.js:3216
DB-056	`mfaGetPushCode`：Web取推送码	POST `/passport/web/get_push_code/`	B:user_code,scene	H0；R0	78889.js:3256
DB-057	`mfaGetPushCode`：isInApp取推送码	POST `/passport/device/get_push_code/`	同上	H0；R0	78889.js:3256
DB-058	`mfaCheckPushCode`：Web校验推送码	POST `/passport/web/check_push_code/`	B:token,push_code	H0；R0	78889.js:3278
DB-059	`mfaCheckPushCode`：isInApp校验推送码	POST `/passport/device/check_push_code/`	同上	H0；R0	78889.js:3278
DB-060	`mfaGetQrCode`：Web二次验证二维码，与普通登录同路径不同参数	GET `/passport/web/get_qrcode/`	Q:e去isInApp后透传，next/service默认https://www.doubao.com	H0；R0	78889.js:3300
DB-061	`mfaGetQrCode`：isInApp二次验证二维码	GET `/passport/mobile/get_qrcode/`	同上	H0；R0	78889.js:3300
DB-062	`mfaValidateByQrCode`：Web扫码安全验证	POST `/passport/web/validate_by_qrcode/`	B:e去isInApp后透传	H0；R0	78889.js:3332
DB-063	`mfaValidateByQrCode`：isInApp扫码安全验证	POST `/passport/mobile/validate_by_qrcode/`	同上	H0；R0	78889.js:3332
DB-064	`mfaExpireQrCode`：Web令二维码过期	POST `/passport/web/expire_qrcode/`	B:e去isInApp后透传	H0；R0	78889.js:3352
DB-065	`mfaExpireQrCode`：isInApp令二维码过期	POST `/passport/mobile/expire_qrcode/`	同上	H0；R0	78889.js:3352
DB-066	`mfaCanMobileAuthVerify`：Web检查验证方式可用性	POST `/passport/web/can_mobile_auth_verify/`	B:e去isInApp后透传；已见verify_way,cert_app_id	H0；R0	78889.js:3372
DB-067	`mfaCanMobileAuthVerify`：isInApp检查验证方式	POST `/passport/mobile/can_mobile_auth_verify/`	同上	H0；R0	78889.js:3372
DB-068	`mfaGetSafeAuthTicket`：申请安全认证票据	POST `/passport/safe/get_auth_ticket/v1/`	B:e去showErrorToast后透传；identity_no/identity_name编码；已见verify_way,cert_app_id	H0；R0	78889.js:3397
DB-069	`mfaVerifySafeAuthTicket`：验证安全票据	POST `/passport/safe/verify_auth_ticket/`	B:e透传；已见verify_way,cert_app_id	H0；R0	78889.js:3425
DB-070	`mfaVerifyUpSms`：上行短信验证	POST `/passport/upsms/verify/`	B:e透传；已见verify_way,std_verify_way	H0；R0	78889.js:3445

5. 关键流程的消费字段与状态

流程	客户端已确认的消费/处理	仍未知
短信	sendCode→smsLogin；后者传login_only=false；wrapper返回账号payload	短信限流策略、完整返回字段、Cookie属性
扫码	getQrcode→checkQrconnect(token,next)；扫码与MFA使用不同方法/参数上下文	QR状态枚举、二维码TTL、最终Cookie落地时序未抓包
三方登录自动绑手机	bindWithMobileLogin失败且Passport异常raw.profile_key存在，改调authLogin(profile_key,platform_app_id)	服务端平台策略、哪些第三方配置当前启用
多账户	SDK返回x-tt-multi-sids写storage；accountRemove调用点已见removed_user_id	header内部编码、账号切换服务端约束
心跳	SessionTokenBeat默认600000ms；boot立刻执行，用户动作设置标记；无活动可停止；业务error_code=401→logoutCallBack	成功心跳是否延长服务端TTL、延长多少、令牌是否轮换
退出	logoutBefore→SDK login.logout(next,need_redirect=0)→notify→可尝试切到其他账户→页面跳转；锁防并发重复退出	注销哪个会话集合、服务端Cookie清理属性
撤销/取消流程	userCheck/cancelCheck/cancelConfirm及移动分支	这些接口不能凭cancel命名认定为普通logout或账户销户协议
安全认证	push/二维码/safe ticket分支透传verify_way、cert_app_id等	可用验证方式枚举、实名服务提供方、失败重试和服务端风控策略

6. 第三方授权的外部服务边界

这些是发行第三方平台类内的URL/SDK能力，是否启用由thirdPlatformConfig及登录入口配置决定；不作为“每个用户登录都依赖”的服务。客户端ID、redirectUri、scope等取运行时配置，不展示或读取真实凭证。

平台/用途	浏览器导航或脚本URL	代码中的response_type/输入	证据
LINE	https://access.line.me/oauth2/v2.1/authorize	code；client_id,redirect_uri,scope,state等	78889.js:720
Google	https://accounts.google.com/o/oauth2/v2/auth；https://accounts.google.com/gsi/client	redirect分支response_type=token；SDK分支另行处理	78889.js:800
飞书	https://accounts.feishu.cn/open-apis/authen/v1/authorize	client_id,redirect_uri,scope,state及配置字段	78889.js:923
抖音	https://open.douyin.com/platform/oauth/connect	code；scope默认user_info,mobile	78889.js:1124
Apple	https://appleid.apple.com/auth/authorize	code id_token；scope等	78889.js:1221
其他平台类	部分地址由平台/配置注入	地址未知不能替写	78889.js:1059

第三方登录不意味着豆包主API会话就是第三方accessToken。/passport/doubao/get_oauth_token/ 和 ticketLogin 的 code_verifier 证明存在相关授权能力，但不能单凭字段证明所有主登录遵循同一个标准OAuth2/OIDC流程。

7. SDK路由常量附录：与业务依赖分开

以下完整列出 48515.js 的 WebInterfaceSdk Web路由字典 h$。它们是SDK内定义，不是调用记录；“业务路径已见”只表示前述业务调用集合出现同路径，不证明所有对应功能已启用。此附录不含SDK其他SSO/App/aff组织管理字典，它们另有前缀且不是本次主Web SDK门面已确认依赖。方法、输入和响应只有在实际调用点才能确定，因此未调用候选不能伪造HTTP契约。

SDK键	路径	在业务清单中同路径已见	定位
`SEND_MOBILE_CODE`	`/passport/web/send_code/`	是	48515.js:6762
`SEND_VOICE_CODE`	`/passport/web/send_voice_code/`	未证实	48515.js:6763
`SEND_EMAIL_CODE`	`/passport/web/email/send_code/`	未证实	48515.js:6764
`VERIFY_MOBILE_CODE`	`/passport/web/validate_code/`	是	48515.js:6765
`VERIFY_EMAIL_CODE`	`/passport/web/email/verify/`	未证实	48515.js:6766
`CHECK_MOBILE_CODE`	`/passport/web/mobile/check_code/`	未证实	48515.js:6767
`CHECK_EMAIL_CODE`	`/passport/web/email/check_code/`	未证实	48515.js:6768
`CHECK_UPSMS`	`/passport/web/upsms/verify/`	未证实	48515.js:6769
`SMS_LOGIN`	`/passport/web/sms_login/`	是	48515.js:6770
`SMS_LOGIN_ONLY`	`/passport/web/sms_login_only/`	未证实	48515.js:6771
`SMS_REGISTER`	`/passport/web/mobile/register`	未证实	48515.js:6772
`SMS_LOGIN_CONTINUE`	`/passport/web/sms_login_continue/`	未证实	48515.js:6773
`EMAIL_LOGIN`	`/passport/web/email/login/`	未证实	48515.js:6774
`EMAIL_CODE_LOGIN`	`/passport/web/email/code_login/`	未证实	48515.js:6775
`EMAIL_CODE_QUICK_LOGIN`	`/passport/web/email/quick_login/`	未证实	48515.js:6776
`EMAIL_REGISTER_LOGIN`	`/passport/web/email/register_verify_login/`	未证实	48515.js:6777
`EMAIL_REGISTER`	`/passport/web/email/register_verify/`	未证实	48515.js:6778
`PWD_LOGIN`	`/passport/web/user/login/`	未证实	48515.js:6779
`AUTH_LOGIN`	`/passport/web/auth/login/`	是	48515.js:6780
`AUTH_LOGIN_ONLY`	`/passport/web/auth/login_only/`	未证实	48515.js:6781
`AUTH_BIND_ONLY`	`/passport/web/auth/bind_login/`	未证实	48515.js:6782
`MOBILE_BIND_ONLY`	`/passport/web/mobile/bind_login/`	未证实	48515.js:6783
`MOBILE_EMAIL_REGISTER`	`/passport/web/mobile_email_register/`	未证实	48515.js:6784
`MOBILE_REGISTER`	`/passport/mobile/register/`	未证实	48515.js:6785
`MOBILE_OAUTH`	`/passport/auth/show_oauth_mobile/`	未证实	48515.js:6786
`LOGOUT`	`/passport/web/logout/`	是	48515.js:6787
`CHECK_LOGIN`	`/passport/account/info/v2/`	是	48515.js:6788
`BIND_WITH_MOBILE_LOGIN`	`/passport/web/auth/bind_with_mobile_login/`	是	48515.js:6789
`BIND_WITH_EMAIL_LOGIN`	`/passport/web/auth/bind_with_email_login/`	未证实	48515.js:6790
`GET_QRCODE`	`/passport/web/get_qrcode/`	是	48515.js:6791
`CHECK_QRCONNECT`	`/passport/web/check_qrconnect/`	是	48515.js:6792
`SCAN_QRCODE`	`/passport/web/scan_qrcode/`	未证实	48515.js:6793
`CONFIRM_QRCODE`	`/passport/web/confirm_qrcode/`	未证实	48515.js:6794
`THIRD_AUTH`	`/passport/web/web_login/`	未证实	48515.js:6795
`WEB_SHARE_LOGIN`	`/passport/web/auth/share_login/`	未证实	48515.js:6796
`AUTH_LOGIN_URL`	`/passport/auth/wap_login/`	未证实	48515.js:6797
`EMAIL_REGISTER_NO_VERIFY`	`/passport/web/email/register/`	未证实	48515.js:6798
`EMAIL_REGISTER_NO_VERIFY_V2`	`/passport/web/email/register/v2/`	未证实	48515.js:6799
`GET_QRCODE_FROM_WECHAT`	`/passport/web/wechat/get_qrcode/`	未证实	48515.js:6800
`CHECK_QRCODE_FROM_WECHAT`	`/passport/web/wechat/check_qrcode_status/`	未证实	48515.js:6801
`MOBILE_BIND`	`/passport/web/mobile/bind/`	是	48515.js:6802
`EMAIL_BIND`	`/passport/web/email/bind/`	未证实	48515.js:6803
`AUTH_BIND`	`/passport/web/auth/bind/`	是	48515.js:6804
`AUTH_UNBIND`	`/passport/web/auth/unbind/`	是	48515.js:6805
`AUTH_SWITCH_BIND`	`/passport/web/auth/switch_bind/`	未证实	48515.js:6806
`MOBILE_REBIND`	`/passport/web/mobile/change/`	是	48515.js:6807
`EMAIL_REBIND`	`/passport/web/email/change/`	未证实	48515.js:6808
`RESET_PWD_BY_MOBILE`	`/passport/web/password/reset/`	未证实	48515.js:6809
`RESET_PWD_BY_EMAIL`	`/passport/web/email/password/reset/`	未证实	48515.js:6810
`RESET_PWD_BY_MOBILE_TICKET`	`/passport/web/password/reset_by_ticket/`	未证实	48515.js:6811
`RESET_PWD_BY_EMAIL_TICKET`	`/passport/web/password/reset_by_email_ticket/`	未证实	48515.js:6812
`PWD_CHANGE_BY_MOBILE`	`/passport/web/password/change/`	未证实	48515.js:6813
`PWD_UPDATE`	`/passport/web/password/update/`	未证实	48515.js:6814
`PWD_CHANGE_BY_EMAIL`	`/passport/web/email/change_password/`	未证实	48515.js:6815
`PWD_SET`	`/passport/web/password/set/`	未证实	48515.js:6816
`PWD_HAS_SET`	`/passport/password/has_set/`	未证实	48515.js:6817
`PWD_HAS_SET_V2`	`/passport/web/password/has_set/`	未证实	48515.js:6818
`PWD_SET_BY_EAMIL_AND_LOGIN`	`/passport/web/email/password/reset_and_login/`	未证实	48515.js:6819
`ACCOUNT_VERIFY`	`/passport/web/account/verify/`	是	48515.js:6820
`AUTH_VERIFY`	`/passport/web/auth/verify/`	未证实	48515.js:6821
`SMS_AUTHORIZE`	`/passport/web/sms/authorize/`	未证实	48515.js:6822
`CANCEL_VERIFY_WAY`	`/passport/auth/cancel_verify_way/`	未证实	48515.js:6823
`CANCEL_CHECK`	`/passport/web/cancel/check/`	是	48515.js:6824
`CANCEL_CONFIRM`	`/passport/web/cancel/confirm/`	是	48515.js:6825
`CANCEL_REQUEST_CANCEL`	`/passport/web/cancel/login/`	未证实	48515.js:6826
`CHECK_MOBILE_REGISTER`	`/passport/web/user/check_mobile_registered/`	未证实	48515.js:6827
`CHECK_EMAIL_REGISTER`	`/passport/web/user/check_email_registered`	未证实	48515.js:6828
`CHANGE_QRCODE_SUCCESS`	`/passport/qrcode_twostep_verify/scan_qrcode/`	未证实	48515.js:6829
`CHANGE_QRCODE_CONFIRM`	`/passport/qrcode_twostep_verify/confirm_by_ticket/`	未证实	48515.js:6830
`GET_OPEN_AUTH_INFO`	`/passport/open/auth_info/v2/`	未证实	48515.js:6832
`OPEN_SEND_CODE`	`/passport/open/send_code/`	未证实	48515.js:6833
`OPEN_SMS_AUTH`	`/passport/open/web/sms/auth/`	未证实	48515.js:6834
`OPEN_ACCOUNT_AUTH`	`/passport/open/web/account/auth/`	未证实	48515.js:6835
`OPEN_THIRD_AUTH`	`/passport/open/web/third_party/auth/`	未证实	48515.js:6836
`OPEN_GET_QRCODE`	`/passport/open/get_qrcode/`	未证实	48515.js:6837
`OPEN_CHECK_QRCODE`	`/passport/open/check_qrcode/`	未证实	48515.js:6838
`OPEN_TO_SCAN_QRCODE`	`/passport/open/to_scan_qrcode/`	未证实	48515.js:6839
`OPEN_SCAN_QRCODE`	`/passport/open/scan_qrcode/`	未证实	48515.js:6840
`OPEN_CONFIRM_QRCODE`	`/passport/open/confirm_qrcode/`	未证实	48515.js:6841
`OPEN_WEB_AUTH`	`/passport/open/web/auth/`	是	48515.js:6842
`OPEN_PROVIDER_ONE_AUTH`	`/passport/open/provider_one_auth/`	未证实	48515.js:6843
`GET_OPEN_OAUTH_TOKEN`	`/passport/web/auth/get_oauth_token/`	未证实	48515.js:6844
`OPEN_UPDATE_AUTHORIZE_INFO`	`/passport/web/auth/update_authorize_info/`	未证实	48515.js:6845
`PLATFORM_OAUTH_CONNECT`	`/platform/oauth/connect/`	未证实	48515.js:6847
`ACCOUNT_INFO`	`/passport/web/account/info/`	未证实	48515.js:6848
`ACCOUNT_SET`	`/passport/web/account/set/`	未证实	48515.js:6849
`OAUTH_PROFILE`	`/web/user/get/oauth_profile/`	未证实	48515.js:6850
`UPLOAD_AVATAR`	`/web/user/update/upload_avatar/`	未证实	48515.js:6851
`UPDATE_USERINFO`	`/web/user/update/user_info/`	未证实	48515.js:6852
`CHECK_DEFAULT_INFO`	`/web/user/check/default_info/`	未证实	48515.js:6853
`GET_BACKGROUND_LIST`	`/web/user/settings/{aid}/default_background_image_list/`	未证实	48515.js:6854
`GET_DEFAULT_AVATAR_LIST`	`/web/user/settings/{aid}/default_avatar_list/`	未证实	48515.js:6856
`GET_RECOMMEND_NAME`	`/web/user/settings/recommend_name/`	未证实	48515.js:6858
`UPLOAD_PICTURE`	`/web/user/upload/pic/`	未证实	48515.js:6859
`CHECK_REMAIN_TIMES`	`/web/user/get/remain_update_times/`	未证实	48515.js:6860
`DOWNLOAD_IMAGE`	`/user/web/download/image/`	未证实	48515.js:6861
`DOWNLOAD_IMAGE_V2`	`/user/web/download/image/v2/`	未证实	48515.js:6862
`AUTH_TOKEN`	`/passport/auth/token_auth/`	未证实	48515.js:6863
`ACCOUNT_SWITCH`	`/passport/web/account/switch/`	是	48515.js:6864
`ACCOUNT_LIST`	`/passport/account/list/`	是	48515.js:6865
`ACCOUNT_REMOVE`	`/passport/account/remove/`	是	48515.js:6866
`GET_OAUTH_TOKEN`	`/passport/auth/get_oauth_token/v2/`	未证实	48515.js:6867

8. 覆盖、保全与后续验证

manifest.json 记录8个已保存发行JS的原始路径、字节数、SHA-256；readable/ 只做Prettier排版，未执行bundle。可复核机器接口清单见 doubao-auth-interfaces.json，逐方法原文摘录见豆包-认证业务方法证据.md。构建脚本见 build_auth_document.py。
REA Evidence：ev_750046cffbd9871a15c60c72edf5e69bbe381e9d74bcbd6a722750b307439bc7；authority=shipped-artifact，confidence=derived，原始记录在 rea-evidence.json。因为完整图超出MCP响应预算，已导出保留证据，没有重复运行相同分析。
REA静态分析仅对已保存8文件范围建图。动态模块、远程配置、Native内部实现可能未解析。当前原生反编译操作因provider_missing不可用，不能宣称分析了所有Chromium Native内部认证行为。
没有读取真实Cookie/token、用户账户数据库或发送短信、扫描二维码、发起登录；本文件不是运行时抓包。字段名、固定公开URL和发行SDK逻辑是静态观察。
未确定项：主会话token是否JWT；完整Cookie及Set-Cookie属性；主会话是否使用服务端内部OAuth2/OIDC；会话刷新/轮换/TTL的服务端规则；风控/验证码远端动态接口；透传e参数完整类型；各接口完整成功/错误Schema。
如需可执行OpenAPI，应对每种登录/安全分支补录脱敏请求响应、确定Cookie与CSRF要求、校验服务端行为后再从“静态依赖清单”升级。当前清单不替代该验证。

9. 完整客户端生命周期：包含企业切换、Native分支及退出

9.1 本节补充的证据边界

前面的72条业务接口操作记录与102条Web SDK路由常量，覆盖保存的业务门面。进一步追踪账户UI发现：账户隔离新流程可以通过Native桥执行检查、切换和退出，而不是始终直接调用Passport HTTP切换接口。这是对主流程的重要补充。

新增发行脚本 33721.js、68243.js、10722.js 及其SHA-256保存在 manifest-lifecycle-supplement.json。它们是本节人工补读证据，未加入前述REA初始8脚本建图范围。以下 neotix.account.* 为本地桥接接口；其内部可能有网络调用，但没有原生代码/运行证据就不能给它虚构HTTP方法或服务URL。

9.2 冷启动、登录检查与会话恢复

初始化账号服务、Passport业务门面和WebInterfaceSdk；业务配置启用多SID，并为SDK提供storage。
登录检查可优先消费页面预加载的 window.accountInfoPromise；成功读取其data，必要时回落到 passportApi.checkLogin()，即 /passport/account/info/v2/。部分未登录错误直接进入登录态失败处理，而不是无限重试。
登录成功后更新用户资料和本地登录标记；多账户状态在存储hydrate后刷新、合并、排序。响应 x-tt-multi-sids 可由SDK写回storage，后续请求按条件携带。
根据运行环境与业务配置决定是否启动会话心跳。飞书环境还可先走飞书身份探测/授权分支；不能把所有环境拼成一个每次都执行的顺序。
flow_web_has_login、登录变化事件和storage监听等用于跨页面同步；本地标志为true不等于服务端会话仍有效。

证据：83746.js:1691、33721.js:1795、33721.js:3020、48515.js:1303。

9.3 普通短信登录、扫码、第三方与Native登录收尾

阶段	行为	失败/条件
入口	展示登录弹窗及动态配置的第三方入口	某SDK内有平台类不代表当前入口启用
短信	sendCode(mobile)→POST send_code；smsLogin(mobile,code)→POST sms_login	SDK处理公共参数、字段编码、验证码/二次校验；业务包装Passport异常
二维码	getQrcode(next)→checkQrconnect(token,next)	具体二维码状态枚举/TTL未恢复，不伪造固定完成状态
第三方	SDK或重定向授权→回调参数→Passport auth/authorize/bind等对应方法	平台、CSRF、账号绑定和补手机分支依配置与错误结果决定
状态提交	更新账户资料、登录标记、多账户列表及导航	只有业务成功链提交；网络失败不等于账号不存在
Native新流程	条件开启时有 startLogin/finishLogin，并以账户资料通知原生层	检查bridge响应isOK和data.success；失败保留reason，不能把JS调用当原生已成功

Native账户隔离能力的开启条件包括桌面版本门槛 >=2.18.0、本地配置与云配置 saman_account_isolation_config。当前版本满足版本门槛，并不证明开关实际开启。68243.js:6417。Native登录包装器 finishLogin 显式映射 userId=user_id_str、secId=sec_user_id、userName/nickName/avatarUrl，10722.js:7112。Native内部如何落地身份容器和会话仍未知。

9.4 个人/企业账户列表与切换

豆包以账户条目的 enterprise_user_type 区分个人/企业展示，切换目标使用已有账户条目的 sec_id、entity_id 等标识。已保存企业账户切换与“把同一个账号的tenantId改成目标值”不是相同的客户端模型。新增/重新登录企业账号也可能进入对应第三方身份入口。

UI在切换前调用阻断检查（scene=switch_space），设置loading与并发锁，再依据账户隔离开关选择旧链或新链。

sequenceDiagram
    participant UI as 个人/企业账户面板
    participant JS as 切换协调器
    participant P as Passport HTTP
    participant N as Native账户服务
    UI->>JS: 选择已保存账户
    Note over JS: blockConfirm(switch_space)，检查sec_id，锁定切换
    alt 旧切换链
        JS->>P: POST /passport/web/account/switch/
        Note right of P: 逻辑Body sec_to_user_id = 目标sec_id
        P-->>JS: 成功或Passport错误
    else 账户隔离新链
        JS->>N: checkAccountSwitch(secId,userId,multiSids)
        N-->>JS: switchable/reason、可更新multiSids
        alt 检查通过
            JS->>N: switchToAccount(userId)
            N-->>JS: success/reason
        end
    end
    alt 切换成功
        JS->>JS: 保存当前sec_id、切换标记、更新login_time
        JS->>JS: 清理旧账户前端状态，发事件，进入新账户页面生命周期
    else 失败/超时/账户过期或移除
        JS->>UI: 提示重新登录或账户失效
        JS->>JS: 清理无效候选、解除阻断/锁/loading
    end

旧链的请求Body由 33721.js:3609 明确为 sec_to_user_id: e.sec_id。新链检查与真正切换是两个动作，33721.js:3266、3658。新检查可带timeout，UI单次预算10秒，退出后连续尝试其他账号的总检查预算15秒；这是客户端约束，不是服务SLA。

成功收尾会更新 flow_cur_user_sec_id、flow_account_is_switched、候选账户登录时间、前端状态和事件，33721.js:3776。失败分类包含账号过期、账号移除与一般错误；过期可提供重新登录入口，移除不会被描述成用户主动注销整个账号，68161.js:3860。

9.5 当前退出、所有设备退出与退出后自动切换

sequenceDiagram
    participant UI as 退出确认界面
    participant JS as Passport业务包装器
    participant P as Passport服务
    participant N as Native账户服务
    UI->>JS: 用户确认退出
    opt 选择其他设备一起退出
        JS->>N: AccountManagerLogout(is_logout_all=true)
        Note over N: Native内部远端路径未知
    end
    JS->>JS: 获取退出锁，logoutBefore(reason)
    JS->>P: /passport/web/logout/，need_redirect=0
    P-->>JS: 成功或错误
    alt SDK退出成功
        JS->>JS: 执行成功回调与logoutNotify
        opt 账户隔离新链开启
            JS->>N: logoutAccount(userId,type,notifyCaller)
        end
        JS->>JS: 尝试切到其他已保存有效账户（依配置）
        alt 有候选切换成功
            JS->>JS: 进入目标账户，结果为switched
        else 没有有效候选/不允许自动切换
            JS->>UI: 清理当前状态并导航登录/退出目标页
        end
        JS->>JS: logoutAfter/释放退出锁
    else SDK退出失败
        JS->>UI: Passport错误提示与失败埋点
        Note over JS: 不能宣称服务端已成功撤销
    end

主要代码：78889.js:2465、全部设备选项 68161.js:3508、退出后候选切换 33721.js:1894、Native退出 33721.js:3173。type 把 user_logout 映射为 user-logout，其他原因映射 force-logout。是否确实撤销所有设备需要Native实现/响应佐证，不能只凭UI勾选项下结论。

此处“退出当前账户”不一定让整个客户端最终处于未登录状态：若允许且另有有效账号，代码可以自动切换到下一个账号。它与 WorkBuddy 默认清空当前session的链路不同。

9.6 移除保存账户与账户销户是不同动作

账户菜单调用 POST /passport/account/remove/，逻辑Body为 removed_user_id=entity_id。不论请求成功与否，当前UI分支的finally还会过滤本地账户条目并删除对应sec_id保存信息，68161.js:4194。因此“条目从菜单消失”不能证明远端会话已撤销。也不能把 account/remove 认定为永久销户/删除账号。

业务还有cancel/userCheck/cancelConfirm和安全验证接口，这些接口的服务端完整业务语义未得到契约。本报告仅按实际调用上下文登记，不给它们补写“永久删除账户”承诺。

9.7 心跳、强制退出与异常恢复

SessionTokenBeat默认600000ms，boot触发后根据用户活动决定继续定时或停止；特定业务error_code=401调用退出回调。这个401不是“所有HTTP401都同一路径”的证明。
启动检测到未登录，可回到登录入口；切换检查遇到profile-not-found可映射过期，1011等映射账号移除，失败不提交成功切换收尾。
网络错误、SDK业务错误、验证码/风控挑战、Native bridge错误和用户取消分开记录。普通401不自动证明存在独立refreshToken兑换接口。
Native新链不可用/禁用时有旧链分支；开关开启后返回new-flow-disabled或校验失败，具体调用方决定报错和清理，并非所有失败都无条件重试旧HTTP切换。

9.8 Native服务依赖清单（本地RPC，不是HTTP）

ID	桥接接口/调用	输入与消费结果	HTTP归属
DB-N01	`neotix.account.startLogin`	发起参数透传；要求isOK且data.success	原生内部请求未恢复
DB-N02	`neotix.account.finishLogin`	userId、secId、userName、nickName、avatarUrl；success/reason	同上
DB-N03	`neotix.account.cancelLogin` / `closeLoginWindow`	取消/关闭当前原生登录窗口	不能视为远端注销API
DB-N04	`neotix.account.checkAccountSwitch`	secId、userId、multiSids；switchable、multiSids、serverErrorCode/Description、reason	原生检查内部HTTP未知
DB-N05	`neotix.account.switchToAccount`	userId；success/reason	原生会话切换内部HTTP未知
DB-N06	`neotix.account.logoutAccount`	userId、type、notifyCaller；success/reason	原生撤销内部HTTP未知
DB-N07	`AccountManagerLogout`	is_logout_all=true，业务层可忽略异常后继续当前退出	旧桥接远端注销范围/路径未知
DB-N08	`neotix.account.openAuthWindow`	url、disposition；用于账户授权/重登录	浏览器承载方式，不新增猜测的认证HTTP路径

原生桥注册见 68243.js:5349；实际操作包装见 33721.js:3173、3266。这些项使“客户端依赖哪些服务”的清单覆盖本地账户服务边界，同时清楚保留其远端实现未知。

9.9 生命周期覆盖检查

场景	覆盖	剩余未知
启动恢复/预加载检查/多账户hydrate	已追踪JS	Cookie和Native真实存储格式
短信/扫码/第三方登录与补手机分支	业务门面+SDK路径	启用平台、完整服务端字段与风控动态分支
企业/个人切换旧链	目标账户→Passport→状态收尾	服务端账号成员权限判断
企业/个人切换Native新链	检查→切换→状态收尾	Native内部HTTP及容器会话落地
当前退出/全部设备退出/退出后切换	UI、SDK与Native桥边界	远端实际撤销集合和Cookie效果
移除账户与本地清理	已追踪	远端列表/会话撤销是否一致
心跳与强制退出	已追踪	是否滑动续期、实际TTL与token轮换