Le contrôle d'accès vérifie, pour chaque requête et côté serveur, que l'utilisateur authentifié a le droit d'effectuer l'action sur la ressource demandée. Masquer un bouton ne suffit pas : l'API doit refuser l'accès aux ressources d'autrui, avec un refus par défaut.
Exemple
if commande.client_id != user.id: abort(403)