/week03 前缀，浏览器中实际请求为 /week03/api/...；Go 进程内的路由仍为 /api/...。记录时以开发者工具中观察到的实际请求为准。口令不得写入任何公开材料。在开发者工具中定位登录对应的 HTTP 请求，按报文结构逐项记录，不要仅保留页面截图：
POST，请求目标为本站登录路径。Content-Type 为 JSON。Set-Cookie。记录名称、HttpOnly、SameSite、Path。再分别使用错误口令与不存在的用户名各请求一次，比较状态码与响应体是否一致。账号不存在、口令错误与触发限流，对外响应应保持同构，真实原因仅写入服务端日志。数据库不可用属于依赖故障，虽可与认证失败区分，但仍不得据此判断账号是否存在。
观察认证成功之后的下一个受保护请求，例如材料列表。该请求的请求体中不应再出现用户名与口令；身份凭据由浏览器依据 Cookie 作用域自动附带。
在 Set-Cookie 中核对三项：Cookie 名称、是否设置 HttpOnly、Path 的作用范围。Cookie 值为随机会话标识，其中不含角色，也不含班级。数据库中保存的是该标识的摘要值，而非标识原文。
后续请求由认证中间件依据该标识查找会话，再从 users 表读取角色与 class_id。请在请求头、查询参数或 JSON 正文中自行加入 role 或 class_id，观察列表与上传结果是否改变——结果不应改变。GET /api/me 仅决定前端是否渲染上传入口，这属于可发现性（discoverability），并非授权；授权在服务端的角色校验中完成。
.txt、.md 之外是否允许先以学生身份提交上传，确认请求在哪一层被拒绝，以及磁盘目录与 materials 表是否出现新记录。学生请求应在角色授权环节被拒绝，此时文件尚未写入。
再以教师身份分别提交 .txt、.md，以及一种白名单之外的扩展名（或仅将文件名后缀改为 .pdf）。服务端按扩展名白名单校验，本课仅接受 .txt 与 .md。校验失败的请求应返回错误响应，且不产生文件，也不产生孤立的材料记录。
校验通过时，材料记录与知识库正文应在同一事务中提交。写入的 class_id 取自会话，而非表单字段。存储文件名由服务端生成，不使用客户端提供的原始文件名作为路径。
前端是否渲染下载按钮仅影响可发现性，不能作为授权机制是否存在的验收标准。
在网络面板中记录一次下载请求的目标地址。其路径应为 /api/materials/{id}/file，而非上传目录的静态 URL。随后比较三次请求的状态码，以及响应体是否包含文件内容：
未认证的请求应被认证中间件拒绝。仅当班级一致时才读取文件。跨班级访问与资源不存在对外均返回同一 404，避免以状态码泄露资源是否存在；差异仅记入服务端日志。上传目录仅挂载到 api 容器，Nginx 不将其配置为静态资源目录。
应将「是否暴露」拆分为两个独立问题，不宜以一个是或否来回答：
查看 Compose 的端口发布配置。本课仅 web 向浏览器发布端口，api 与数据库仅存在于容器网络内部。再在开发者工具中查看登录或材料列表请求的主机与路径：应为同源的 /api（课程站点上带 /week03 前缀），而非 Go 进程的监听端口。
Nginx 将以 /api 开头的请求反向代理至 Go，自身不执行认证。因此客户端调用的是本站接口，而非 api 容器的直连地址。直接调用时，应向本站 /api/... 发送 HTTP 请求；材料列表等受保护资源还须携带认证成功后的 Cookie。GET /health 不经过认证，仅用于存活探测，其响应中不包含材料数据。