網站怎麼運作：URL、HTTP 請求與回應、Cookie 與 curl 實測
按下連結，瀏覽器會用 URL 組出一份 HTTP 請求，伺服器回一份帶狀態碼的回應；Cookie 是伺服器發的「入場手環」，讓無記憶的 HTTP 認得你。讀完能在開發者工具的 Network 面板找到一個請求，指出 URL、方法與 Cookie 各在哪一段。範例只打自己本機。
#web-security
3 篇文章網站最常見的兩種洞：XSS 與 IDOR，為什麼獎金差這麼多
XSS 是網站把使用者輸入原樣放進網頁，讓別人的瀏覽器把它當程式執行，修法是輸出時轉義。IDOR 是伺服器收到 id 就給資料，沒檢查這筆資料是不是你的，修法是伺服器端檢查擁有者。Google 獎金表把 XSS 放在「在受害者瀏覽器執行程式碼」（C0），一般 Google 應用基準 10,000 美元；IDOR 放在邏輯漏洞（S2），價位看洩漏的資料多敏感，同樣在一般 Google 應用上是 3,133.7 到 31,337 美元。
需要登入的網站怎麼交給 Agent：Session、權限與自動化邊界
登入狀態不是方便攜帶的設定，而是一把能冒用身分的鑰匙。安全做法是使用專用低權限帳號與隔離 browser profile，把讀取、可逆寫入、高風險交易拆成三級，MFA 與最後提交留給人。