Cette configuration de validation côté serveur semble assez faible. Si l'architecture était solide, toutes les requêtes après la vérification OTP auraient dû être bloquées immédiatement. Au lieu de cela, elle divulgue suffisamment d'informations pour donner l'impression que l'accès a été réellement accordé. Un cas classique de vérifications côté frontend sans une application appropriée côté serveur.