Autenticar (quem é você) não é autorizar (o que pode). Os dois padrões que você vai testar sempre:
- Checagem de papel (role): o servidor confirma que você é admin antes de deixar entrar em
/admin(seu Ex. 7 — role não checada). - Checagem de propriedade (ownership): o servidor confirma que aquele recurso é seu antes de entregá-lo — senão é IDOR/BOLA (trocar
?id=123por124).