只檢查自己的隔離教學副本

1. 正常後端保留，不因練習故意刪掉正常防護。
2. 故障ZIP有兩個目錄。第一關01-public-fake-secret/frontend/config.js只含明示假字串FAKE_NOT_A_REAL_SECRET_L25；移除該宣告，apiBase保留，不能移到另一公開檔。
3. 第二關02-server-auth-bypass：用PORT=8782、PUBLIC_ORIGIN=http://127.0.0.1:8782與新的練習密碼啟動其backend，資料用此獨立包backend/.data，只seed虛構案。config已指8782，不公開部署。匿名管理竟200/可更新是故障，講師核對requireAdmin修復後，重啟該副本驗401及合法登入。
4. 第三關回正常後端，存<strong>測試</strong>為主旨與備註，重讀應是普通字串；公開services和receipt不能有內部備註或秘密。不能只看畫面沒顯示就結案。
5. 不把密碼、Cookie、內部真實資料貼給AI。只提交測試方法、去敏感結果、差異及待測，不能稱全面安全。