api: unexport login handler