本课程面向希望理解“为什么登录客户能取得他人私有数据”的初学者。你将在预置商店中，使用合成发票与真实的会话式 API 进行测试。
一个引导实验先建立正常访问，再比较明确共享和私有访问，并保存真实响应。一个独立挑战更换客户和共享关系，需要你自己选择相关发票。
你将学到什么
- 登录并在 HTTP 请求中发送客户会话。
- 先阅读发票所有权与共享字段，再判断访问是否允许。
- 区分认证失败、合法共享和缺失的对象授权。
- 保存真实私有发票，并关联到实际接收它的客户身份。
本课程适合谁
适合安全入门学习者，以及关注 API 访问控制的开发者。你应能输入终端命令并切换标签页，无需编程或 Web 测试经验。
LabEx 为每个单元提供隔离的 Client Terminal 和 Invoice Desk 门户。所有数据都是合成的，仅提供的账户与对象属于授权范围。
常见问题
需要安装代理或配置服务器吗？
不需要。环境已准备好。你使用浏览器和 curl；引导实验会解释每个新命令选项。
会修复应用吗？
课程终点是授权访问验证：取得指定发票，并理解服务器为何必须检查所有权或共享权限。服务器修复不在本课程范围内。
如何检查完成情况？
检查会比较保存的发票字节、指定记录以及真实的服务端客户下载记录，无需报告或截图。
