登录与权限 · 本地实验
仅在本机练习。下方账号和密码是公开的虚构教材，请勿输入自己的密码。默认数据另存为 auth-learning.sqlite。
1. 登录并观察会话
员工 alice / alice-learning、bob / bob-learning；访客 guest / guest-learning。访客可以登录，但没有预约权限。
正在检查会话…
会话存活 15 分钟，退出或重启服务后失效。浏览器收到 HttpOnly Cookie，业务身份由服务端确定；改 X-Demo-User 不能切换身份。刷新页面不会延长会话。
2. 创建自己的预约
成功后仍保留输入和标识；相同标识、相同参数可重试。创建另一笔预约前请生成新标识。
3. 验证资源归属
用 alice 创建预约并记下编号，再登录 bob，尝试取消该编号：应得到 404，原预约仍有效。不存在的编号也返回 404，避免透露他人记录。
本次响应
执行一个操作后显示状态码、traceId 与响应。这里不展示密码或会话凭据。
开发者工具中观察 Set-Cookie 与后续 Cookie 请求头；不要将凭据复制进作品集。此实验没有注册、找回密码、共享会话存储、HTTPS 或生产部署配置。