用矩陣確認權限

1. 起始版已保留第19堂401清畫面，不要為練習把正常防護刪掉。手動列匿名、登入、登出、失效四列，分開列表與明細預期。
2. 第一份Prompt加登出button，POST /api/auth/logout撤銷後端session；不是只跳登入頁或清前端布林。
3. 登入後核對同案，登出後直接開/api/admin/cases應被拒絕；不要讀取或貼出Cookie。
4. TEACHING_MODE下，用已授權POST /api/admin/testing/expire令session失效，再點列表／明細，後端401且前端清私密內容。公開詢問仍可使用。
5. 第二份只分清401與一般連線失敗、加手動重新確認，從瀏覽器返回快取頁也先清畫面再驗身份；不自動反覆重試。
6. cases=empty的200是目前沒有案件，不是沒登入。結束模式恢復normal再核對同案，勿刪資料湊空清單。
7. 故障包另存fault-L20；先登入看過案件，再令身份失效並請求。後端已401，舊畫面卻仍在，定位少掉的clearPrivate，只恢復這一步。
8. 不能因畫面不顯示就說後端安全；直接拒絕與私密DOM清除兩者都要留證據。不要對正式站或他人資料做測試。