The lab/idor branch intentionally contains these exercises: IDOR, SQL Injection, Stored XSS, Mass Assignment, Path Traversal, and a constrained SSRF demonstration. Their expected behavior and localhost-only setup are described in the README and docs/labs/. They are included for authorized practice, not as examples of secure production code.

Run the lab only with fictional data on 127.0.0.1. Do not expose the running app's port or deploy it to the Internet. Do not use the exercises against systems you do not own or have explicit permission to test. The Docker Compose file does not publish PostgreSQL or the mock SSRF service to the host.

Do not include real credentials, personal data, or third-party targets in a report. If GitHub private vulnerability reporting is enabled for this repository, use it. Otherwise, contact the repository owner privately before sharing exploit details publicly. Include the affected commit, the local setup, the route or component, and the observed impact.

Nhánh lab/idor cố ý có sáu bài tập: IDOR, SQL Injection, Stored XSS, Mass Assignment, Path Traversal và SSRF có giới hạn. README và docs/labs/ mô tả hành vi dự kiến cùng cách chạy trên localhost. Đây là môi trường học tập, không phải ví dụ về mã an toàn để triển khai thực tế.

Chỉ chạy lab với dữ liệu giả trên 127.0.0.1. Không mở cổng ứng dụng ra mạng công cộng và không triển khai ứng dụng lên Internet. Không kiểm thử hệ thống không thuộc quyền sở hữu của bạn nếu chưa được cho phép rõ ràng. Docker Compose không publish PostgreSQL hoặc mock service SSRF ra host.

Không đưa thông tin đăng nhập thật, dữ liệu cá nhân hoặc mục tiêu của bên thứ ba vào báo cáo. Nếu repo bật GitHub Private Vulnerability Reporting, hãy dùng kênh đó. Nếu chưa bật, hãy liên hệ riêng với chủ repo trước khi công khai chi tiết khai thác. Báo cáo nên nêu commit bị ảnh hưởng, cách dựng môi trường cục bộ, route hoặc thành phần liên quan và tác động quan sát được.