先確認身份，再讀案件，每一步都有依據。
後端驗證密碼與session，前端再讀me及案件。私密資料不能先寫在HTML或localStorage後才藏起來。
這關帶走：後端身份確認才讀案件，錯登入沒有私密資料。
先學一招：登入成功不等於前端自行設權限
後端身份確認才讀案件，錯登入沒有私密資料。
帶上你的裝備
- 自己的service-site/frontend既有inquiry.html、inquiry.js、config.js與styles.css；管理頁本關才新增
- 隨包API_CONTRACT.html與真實教學後端；只用虛構案件，不把密碼或Cookie貼給AI
- 第18堂實際案件id與主旨；不含認證值的Network證據
後端驗證密碼與session，前端再讀me及案件。私密資料不能先寫在HTML或localStorage後才藏起來。
先分清自己的作品、線上畫面與可啟動參考包；線上參考不提供API，請在本機閱讀隨包OPEN_REFERENCE.html後操作。
一起拆解：權限從後端確認
本關18分鐘觀念：3分鐘看輸入、6分鐘逐步推演、5分鐘正常與錯誤對照、4分鐘先預測再說明。
這次的輸入
上一堂已建立一筆實際QH-id；這堂新增登入與案件頁。
登入 → 後端設HttpOnly Cookie
GET /api/auth/me → 200
GET /api/admin/cases → 找同id這段是觀念縮圖，完整可操作檔案在本關參考成果；請依當前階段判讀，不把片段直接貼到任意位置。
一步一步推演
- 先保留上一堂自己的資料目錄；新的管理頁與admin.js由本關新增，不能要求先附不存在檔案。
- 錯密碼測401；正確登入後由me確認身份，前端不讀或保存Cookie值。
- 在列表及明細核對第18堂同id、主旨與服務，不用預置案替代。
正常應看到
只有真正登入才讀到同一筆案件，密碼不進前端檔或AI對話。
常見錯誤對照
在前端設定isAdmin=true不能讓匿名API請求變成合法。
先預測，再說明原因
只看到登入頁跳轉，足以證明管理API受到保護嗎？
跟著觀察
- 先讀「權限從後端確認」的輸入，指出本關實際檔案或資料。
- 只看到登入頁跳轉，足以證明管理API受到保護嗎？
- 依例子逐步說明正常結果與錯誤差別，再記下自己的預測；參考結果不是已完成的實測。
這是你的實際操作確認，小測不會替你勾選。
動手挑戰：先確認身份，再讀案件
後端身份確認才讀案件，錯登入沒有私密資料。
先準備
- 自己的service-site/frontend既有inquiry.html、inquiry.js、config.js與styles.css；管理頁本關才新增
- 隨包API_CONTRACT.html與真實教學後端；只用虛構案件，不把密碼或Cookie貼給AI
- 第18堂實際案件id與主旨；不含認證值的Network證據
先用錯密碼，再用自己設定的密碼登入，記同案id。
照這個順序開始
- 記第18堂實際id、主旨與服務，不貼密碼給AI。
- 請AI依契約加登入、me、列表與明細，安全文字顯示。
- 錯誤登入不見案件；正確登入核對同案列表與明細。
建立真實管理員登入與案件查閱
主要使用 Cursor 內建 AI；先附資料，再送出指令。
- 1．附上這些檔案與資料
- 自己的service-site/frontend既有inquiry.html、inquiry.js、config.js與styles.css；管理頁本關才新增
- 隨包API_CONTRACT.html與真實教學後端；只用虛構案件，不把密碼或Cookie貼給AI
- 第18堂實際案件id與主旨；不含認證值的Network證據
本關才新增，不用先附檔：service-site/frontend/admin-login.html、service-site/frontend/admin-cases.html、service-site/frontend/admin.js。請讓 AI 建立在指定位置；收到程式碼時核對檔名後自行儲存。
- 2．貼到哪裡
- 在 Cursor 開啟自己的本關練習副本，進入內建 AI 對話；正常版與故障副本分開。
- 只用 @ 附上上方已存在的指定檔案；「本關才新增」的檔案不需要先找或先建空檔，再貼下方Prompt。
- 先讀回覆與差異，只保存指定範圍；回到瀏覽器實際檢查。版本保存由自己操作，不讓 AI 代替驗收或提交。
- 3．預期回覆與操作
- 請AI依契約加登入、me、列表與明細，安全文字顯示。
- 列表與明細使用第18堂實際同id。
- 4．自己檢查結果
- 後端身份確認才讀案件，錯登入沒有私密資料。
- 列表與明細使用第18堂實際同id。
建立真實管理員登入與案件查閱 Prompt（可收合）
你是協助零基礎學員的網站開發助手。我使用 Cursor 免費版編輯原生 HTML、CSS、JavaScript；必要時把你提供的內容手動貼入檔案。
情境與本次輸入：沿用提供的Node教學後端與HttpOnly session cookie，前端fetch credentials:include，不把認證存在localStorage。POST /api/auth/login、GET /api/auth/me、POST /api/auth/logout；受保護GET /api/admin/cases回cases摘要，GET /api/admin/cases/:id回case明細，PATCH同路徑只接受status及/或internalNote。未登入401、找不到404、欄位422、教學更新失敗503。案件使用實際穩定id，從第18堂同案延續，不以不同預置案假串接。 本堂新增兩個管理頁與admin.js；不從零重做認證、狀態更新及備註留後堂。保留APPA與紫綠色票。
本次任務：起始版已存在的檔案才需附上；本關新增service-site/frontend/admin-login.html、service-site/frontend/admin-cases.html、service-site/frontend/admin.js，不要要求先附不存在的檔案。依提供API契約新增admin-login.html、admin-cases.html與admin.js，沿用config及品牌。登入POST username/password，成功後由GET /api/auth/me確認，再讀受保護GET /api/admin/cases。以穩定id讀/api/admin/cases/:id的case，不用陣列位置。fetch credentials:include，由後端HttpOnly cookie認證，不存或記密碼／Cookie。資料以textContent／表單value呈現，401清私密DOM，錯登入不見案件；保留公開詢問。先完成基本登入、列表與同案查閱，下關才精修載入／404。列錯登入、正確登入、第18堂同id及手機鍵盤驗收。
請先閱讀我附上的相關檔案或資料，資訊缺漏時精確列出需要補充的項目，不猜檔名、API 或測試結果。說明以繁體中文撰寫，指出檔案與修改位置；檢查結果區分已知、待驗與未完成。只處理學生自己的練習副本，不改現有展示網站，不要求付費訂閱。Cursor AI 無法使用？改用 ChatGPT 備援
把上方指定的檔案內容、清單與補充資料，連同同一份 Prompt 貼入 ChatGPT 對話。只貼電腦上的路徑，無法讓它讀取你的檔案。
收到程式碼時，先核對檔名與修改位置，再手動存回自己的練習副本；若收到檢查表或補檔步驟，就逐項操作。不要把 Prompt 或程式碼框的反引號貼進 HTML／CSS。
兩邊都受限時，可先看既有參考成果、檢查差異與手動修改；未做過的 AI 生成或公開發布仍記待完成。不要貼入帳密、金鑰或真實個資。
複製只取得 Prompt 文字，檔案需自行在 Cursor 附上；本頁不會呼叫 AI 或自動完成關卡。
卡住時，APPA 給你一點線索
線索 1｜先找現象與證據
先me再讀案件，不把案例資料直接放HTML。
線索 2｜再縮小修改範圍
核對列表cases與明細case兩種外層。
回到自己的作品，逐項檢查
- 後端身份確認才讀案件，錯登入沒有私密資料。
- 列表與明細使用第18堂實際同id。
- 未實際完成的AI、發布或裝置驗收記待完成。
需要對照？看這一關的參考成果
先檢查自己的作品，再對照差異。開啟參考不會算完成。
查看前端參考畫面（完整操作請下載參考包）（另開分頁）線上只看前端畫面；完整操作請下載。本頁不提供案件API。把參考包解壓到新的資料夾，先讀 OPEN_REFERENCE.html，再啟動隨包後端；不要覆蓋自己的作品或案件。
下載本關可啟動參考包尚未完成可以先往下看，之後再回來補做。
保留依據與結果，再帶著作品往下走。
保留自己的修改差異與檢查結果。完成兩項操作確認再往下一關；也可以先閱讀，稍後補做。
關卡紀錄由你自行確認；本頁不會讀取 Cursor 檔案或自動驗收作品。
留下自己的檢查紀錄
這是第 19 堂共用筆記，換關卡仍會保留。未實際做過的操作寫「待完成」。
重設會清除第 19 堂六步勾選，筆記、另一堂進度與網站檔案保留。