L'autorisation détermine ce qu'un utilisateur authentifié a le droit de faire. Le serveur contrôle, à chaque requête, que la ressource lui appartient ou que son rôle le permet, sinon il répond 403, ou 404 pour ne pas révéler son existence. Un identifiant fourni par le client ne suffit jamais comme preuve.
Exemple
if (note.userId !== req.user.id) return res.sendStatus(403);