使用短信验证时,用户信息手机号删除后老手机号还能登录

我用短信认证的时候,给一个用户添加了手机号。这个时候可以登录。然后我把手机号删掉了之后。用原来的手机号还能继续登录。这个是缓存还是什么原因?
另外这个没有办法限制只对有用户信息的手机号发消息好像?不管有没有用户信息都可以发消息。这样感觉可能会被攻击啊。

请问认证是否设置了 :用户不存在时自动注册

没有设置。如果设置了应该所有手机号都能登录。我现在是新的手机号是不能登录的。会报没有注册。但是我之前用户信息使用过的手机号。哪怕用户信息里面删掉了也能再继续登录。是需要人工清除缓存什么的么?