Обязательно

Object-level authorization

Вход в систему не даёт доступа ко всем записям.

Проверено 9 ноября 2026 г.Изменено 9 ноября 2026 г.

SELECT * FROM orders WHERE order_id = $1

SELECT * FROM orders
WHERE order_id = $1 AND tenant_id = $2

Почему это важно

Чужой идентификатор может быть известен или случайно раскрыт.

tenant_id берётся из проверенного контекста, а не произвольного поля клиента. Для сложных ролей нужен явный механизм политик.

Определяет матрицу доступа к конкретным объектам.

Реализует серверные ограничения и проверяет запрещённый запрос наряду с разрешённым.

Контроль результата:

Первоисточники

Дата проверки отражает содержательную сверку. Синхронизация сайта не обновляет её автоматически.