Каким образом у нас должна происходить авторизация?

Сначала разделите аутентификацию — кто пользователь — и авторизацию — что ему разрешено. Конкретную схему выбирают по клиентам, ролям и требованиям продукта.

Для веб-сессии часто подходит серверная проверка с защищённой cookie. На каждой операции проверяйте роль и доступ к объекту, а не только вход на страницу. Без контекста проекта нельзя выбрать окончательный протокол, но модель прав и границы доверия нужно определить до реализации.