Vorhersagen, dann prüfen. Für jede Eingabe: Was passiert? Erst entscheiden, dann klicken — die Abweichung zwischen Vermutung und Realität ist der Lerngewinn.
Die verwundbare Login-Abfrage: SELECT rolle FROM benutzer WHERE name = '{name}' AND passwort = '{passwort}'. Kippt der Login (Bypass)?
Das Portal ist abgesichert (Rolle serverseitig, ?role= wird ignoriert). Welcher Statuscode?