阶段 5：练习与验收

必做

1. 注册两个账号，分别登录
2. 各自创建书签，确认列表隔离
3. 故意用错误密码、过期/乱码 token，观察状态码

选做

1. 增加 GET /auth/me：返回当前用户信息（需登录）
2. 注册时密码最少 8 位（DTO 校验）
3. 思考题：把 JWT 放 localStorage 和 HttpOnly Cookie，各有什么优劣？（写几句笔记即可）

本阶段验收

• 注册登录熟练
• 书签接口全部需要登录（除了你故意公开的）
• 能说清认证 vs 授权

通过后 → 06-联调与实战准备/01-CORS与前后端联调.md