У вас есть эндпоинт GET /orders/{id}, который требует авторизации и возвращает заказ. На ревью безопасности сказали, что в нём дыра. Какая проблема скорее всего и как её закрыть?

Как подойти

Проверяют, отличает ли кандидат аутентификацию от авторизации на уровне объекта и узнаёт ли классическую уязвимость IDOR/BOLA. Важно, понимает ли он, как закрыть её системно, а не точечной заплаткой.