Объяснение
Middleware образуют цепочку обработки запроса. Порядок важен: обработчик ошибок должен оборачивать операции, чьи исключения он ловит. Аутентификация устанавливает личность, авторизация проверяет разрешение.
Задача для самостоятельного решения
Где проверять право пользователя читать конкретный заказ?
Показать разбор ответа
После определения пользователя и загрузки контекста заказа, до выдачи данных. Одного признака «пользователь вошёл» недостаточно для объектной авторизации.