都对安全性要求较高了，还用 md5? 换一种低碰撞 hash 算法，或者使用一种唯一 id 生成算法，而且最后都要写入 MYSQL 来保证唯一（唯一键），这个表可以是一个月表。
按需求，每个步骤都要返回一个 step_token 给客户端，下次传给服务器，解析后直接进入下一步，所以你的 authToken 是什么用途？对于更改密码这种敏感操作肯定是没有延续的说法吧，一般都是在一个页面中完成，要么是在验证原密码后发送一个带有效期的链接到邮箱，链接中带的也应该是一个 step_token 。
至于包含 4 步的注册功能，服务器可以通过一种状态机模式来实现。比如设计出四种状态：input_email 、verify_email 、verify_phone 、input_passwd ，没带 token 就是第一种状态，否则就是从 token 从解析出到了哪一种状态，然后执行对应的状态流转逻辑。