В чем опасность регистрации/авторизации по номеру телефона?
обычно делается наоборот: сначала логин/пароль, затем уже код.
иначе можно достаточно легко вас разорять на смс в никуда.

архитектурно – это достаточно простая задача: пока не получили всех данных – ничего не делаем кроме показа формы.

лично я терпеть не могу коды по смс, и считаю их антипаттерном: интернет может быть, а мобильной связи может не быть (у меня такое было не раз, и достаточно часто). лучше использовать другие способы otp.
Безопасность напрямую возлагается на безопасность инфраструктуры.
Если БД не взломают и не перехватят данные по передаче, то бояться не зачем.
Либо просто могут продать данные, слить БД, также потенциальная опасность.
А в остальном - просто архитектурные решения, которые оптимизируют нагрузку, работы системы.