Объяснение
Аутентификация устанавливает личность; авторизация разрешает действие над конкретным объектом. Сессия должна иметь срок и защищённую cookie. Проверка роли без проверки владельца создаёт утечку чужих данных.
Задача для самостоятельного решения
Пользователь меняет /orders/10 на /orders/11. Где защита?
Показать разбор ответа
Сервер проверяет доступ к заказу 11 при каждом запросе. Скрытая ссылка в интерфейсе не является контролем доступа.