feat(auth): replace TOTP with phone-first login

docs/architecture/authentication-authorization-hardening-plan.md

@@ -41,7 +41,6 @@ Tenant Active
   + Module / Feature 可用
   + Operation Permission
   + DataScope / Resource Scope
-  + 必要时 MFA
 ```
 
 验收：
@@ -53,7 +52,7 @@ Tenant Active
 
 ## P1：接口最小权限与 DataScope 审计
 
-- 建立 endpoint authorization manifest：method、route、realm、module、permission、DataScope、MFA、audit action。
+- 建立 endpoint authorization manifest：method、route、realm、module、permission、DataScope、audit action。
 - 后台写接口不得只使用 `[Authorize]`。
 - tenant/platform 权限不得串用。
 - `[AllowAnonymous]` 只能出现在白名单路由。