PUBLIC API
Health check
確認 CloudFront frontend 可以呼叫 API Gateway public health route。
尚未測試
SENSEI MATCH · AWS STAGING
建立新的 AWS blank-data 使用流程
這是第一個 AWS static frontend vertical slice。Cognito Hosted UI 負責登入（staging 可啟用 Google），API Gateway 和 Lambda 負責 API，DynamoDB 儲存新的 AWS profile、private room 和文字訊息；現有 Supabase data 不會被讀取或搬移。
正在載入 AWS frontend 設定……
COGNITO JWT
我的 AWS profile
使用短期 Cognito access token 呼叫受保護的 /v1/me route。
TUTOR MEDIA
Tutor photo
照片會先取得短效 presigned POST，再由 browser 直接上傳到 private S3；完成後透過 media CloudFront 重新顯示。
尚未上傳 tutor photo
尚未選擇檔案
選擇照片後才可以上傳。
只有 Cognito tutor 或 admin group 可以使用此功能；browser 不會持有 AWS credentials。
TUTOR CREDENTIAL
教育／資格證明
文件會先取得 5 分鐘有效的 presigned POST，再由 browser 直接上傳到 private credential S3； API 只保存 metadata，admin 審核前不會公開文件。
尚未選擇檔案
選擇文件後才可以上傳。
狀態：尚未提交
Credential ID：—
只有 Cognito tutor 可以上傳；credential bucket 不接 CloudFront public delivery，下載只會由 API 依 owner/admin authorization 簽發短效 URL。
登入後可讀取或建立
PRIVATE TEXT CHAT
AWS staging message rooms
這個 staging-only vertical slice 只允許 room member 讀取和傳送文字。建立 room 時可以選填另一位 Cognito subject；系統不會搜尋或搬移 Supabase users。
我的 rooms
0 rooms登入後讀取 room。
尚未選擇 room
建立或選擇 room 後開始測試文字訊息。
目前沒有選擇的 room。
登入後可以建立 room；訊息會以 bounded polling 每 5 秒更新。
API 會在同一個 DynamoDB transaction 寫入 message、idempotency claim 和 outbox event；未加入 room 的 Cognito account 不會取得 room 或 message。
ADMIN REVIEW
Tutor credential pending queue
Queue 只透過 DynamoDB GSI1 讀取 pending metadata，不會列出文件 bytes；preview／download 會另外取得 300 秒有效的 presigned GET。
PRIVATE ADMIN ARCHIVE
上傳 osiris ZIP
只允許 admin 上傳 ZIP；檔案會直接送到 staging 專用 private S3，不會放入公開 WebBucket、CloudFront 或 Supabase。 Server 會重新驗證檔案大小、SHA-256、S3 metadata 和 ZIP signature。
尚未選擇檔案
選擇 ZIP 後才可以上傳。
狀態：尚未上傳
Upload ID：—
私有 S3 key：—
登入 staging admin 後，可用目前或既有的 Upload ID 取得 300 秒 private download；ZIP 不會公開放入 WebBucket，download URL 也不會保存到 browser storage。 完成的 staging archive 會依 retention policy 自動清理。
登入 admin account 後載入 pending queue。
尚未載入 pending credential。
Verify action 只會更新 server-side verification state；browser 不會直接呼叫 DynamoDB、S3 admin API，亦不會把 presigned URL 寫入 Web Storage；開啟 preview 時瀏覽器仍會接收 credential bytes。
DATA BOUNDARY
Blank data only
- 新 AWS DynamoDB table：只存新建立的 profile、chat rooms 和文字訊息。
- 現有 Supabase users、rows 和 objects：不會被讀取。
- Browser：不持有 AWS access key 或 secret key。