補教工具箱 Core

一、連線設定

只輸入 Supabase 專案網址與 Publishable key。不要輸入 sb_secret_、service_role 或 Google Client Secret。

二、Google 登入測試

Google 登入成功後，可透過後端 API 確認 Core 員工綁定及未授權分校應被拒絕。

三、Core 後端授權測試

此測試不會讀取學生資料、變更員工權限，也不需要輸入任何秘密金鑰。

注意：本階段沒有正式員工授權；虛構分校的正確結果必須是「拒絕」。

四、已登入管理員 API 防越權測試

這些測試只使用不存在的測試員工與分校，不會授權任何人，也不會修改 Core 正式資料。

正常結果：第一個 HTTP 403（NOT_AUTHORIZED）；第二個 HTTP 400（INVALID_FIELDS）。若取得 HTTP 401、503 或允許寫入，應停止並回報。