Почему разделение аутентификации и авторизации важно с точки зрения безопасности системы?

Аутентификация определяет, кто обращается, а авторизация — что этому субъекту разрешено. Успешный вход не даёт права читать или изменять любой объект системы.

Проверяйте действие и конкретный ресурс на каждой защищённой операции: принадлежность, роль, scope и состояние объекта. Разделение позволяет менять способ входа без переписывания бизнес-политик и централизованно отзывать права. Особенно опасно доверять user_id из тела запроса без сопоставления с аутентифицированным субъектом. Политика по умолчанию должна запрещать действие, если разрешение не установлено.