Права пользователя проверяются на сервере

Результат

Скрытая кнопка не служит защитой. Прямой запрос от пользователя без нужных прав также отклоняется, а разрешённое действие продолжает работать.

Как проверяем

• Вызываем защищённое действие без входа и под учётной записью без нужных прав.
• Проверяем разрешённые и запрещённые действия для согласованных ролей.
• После выхода или отзыва доступа повторный запрос не сохраняет прежние права.