J'ai caché le boutonL'AI construit ce que tu demandes ; la sécurité, il faut la demander.

1. Cacher n'est pas protégerMasquer un bouton ou une page ne bloque rien : on peut taper l'adresse directement ou modifier une requête vers l'API. OWASP classe d'ailleurs le contrôle d'accès défaillant en tête de ses risques web 2021.
2. Le contrôle se fait côté serveurSelon OWASP, un contrôle d'accès n'est efficace que dans du code serveur de confiance, où l'attaquant ne peut pas le modifier.
3. Refuse par défautSauf ressource publique, tout est refusé tant qu'un droit n'est pas accordé. Ne fais jamais confiance à un rôle ou un identifiant envoyé par le navigateur.
4. Un seul contrôle, réutiliséCentralise la vérification des droits et réutilise-la partout, pour ne rien oublier.
5. À copier-coller« Audite les contrôles d'accès de cette appli : liste chaque page et chaque route d'API, dis qui peut l'appeler et où le droit est vérifié côté serveur. Propose les corrections, puis vérifie. »

Cacher n'est pas protéger : la vérification se fait côté serveur.