Public Auth API — /api/v1/auth

Auth model: JWT с audience public для protected routes

Response envelope: формат ответа A (см. api-overview.html)

JWT

• Access token: Authorization: Bearer <token>, audience=public
• Refresh token: передаётся в body для /token/refresh и опционально в /logout
• Token type: Bearer, поле expires_in — секунды до истечения access token

---

POST /api/v1/auth/register

Регистрация публичного пользователя.

Auth: None

Request body:

Responses:

---

POST /api/v1/auth/login

Вход, выдача пары JWT.

Auth: None

Request body:

Response 200 — data:

Error codes: invalid_credentials, email_not_verified, account_locked, ip_locked, mfa_required, mfa_invalid, rate_limited, public_api_blocked

---

POST /api/v1/auth/email/verify

Подтверждение email по токену из письма.

Auth: None

Request body:

---

GET /api/v1/auth/me

Профиль текущего пользователя.

Auth: токен доступа (JWT), audience=public

Response 200 — data (PublicUserProfile):

---

PATCH /api/v1/auth/me

Обновление профиля или запрос смены email.

Auth: токен доступа (JWT), audience=public

Request (обновление username):

{ "username": "new_name" }

Request (смена email):

{ "email": "new@example.com" }

---

PATCH /api/v1/auth/me/password

Смена пароля.

Auth: токен доступа (JWT), audience=public

Request body:

Response 200: { "success": true, "message": "Password updated" }

---

POST /api/v1/auth/token/refresh

Обновление пары JWT.

Auth: None (refresh token в body)

Request body:

Response 200 — data (TokenPairResponse): access_token, токен обновления, token_type, expires_in

---

POST /api/v1/auth/logout

Выход, инвалидация токенов.

Auth: токен доступа (JWT) + optional refresh в body

Request body (optional):

Response 200: { "success": true, "message": "Logged out" }

---

POST /api/v1/auth/mfa/setup

Инициализация MFA — secret и данные для QR.

Auth: токен доступа (JWT), audience=public

Response 200: { "success": true, "data": { "secret": "...", ... } }

---

POST /api/v1/auth/mfa/enable

Включение MFA после верификации TOTP-кода.

Auth: токен доступа (JWT), audience=public

Request body:

---

POST /api/v1/auth/mfa/disable

Отключение MFA.

Auth: токен доступа (JWT), audience=public

Request body:

---

Коды ошибок (полный список)