Autorisation : vérifier qui peut agir

L’authentification établit l’identité ; l’autorisation vérifie si cette identité peut accéder à la ressource ou réaliser l’action demandée.

Risque

Une route peut vérifier qu’un utilisateur est connecté tout en oubliant de vérifier la propriété de la ressource.

Vérification

Suivez l’identifiant de l’utilisateur et celui de la ressource jusqu’à la mutation. Testez un accès croisé avec deux comptes fictifs.