مراجعة تصميم الصلاحيات: الثغرات الشائعة

const express = require('express');const app = express();app.use(express.json()); // من مصفوفة الصلاحيات (الدرس 16) إلى الكود مباشرةconst ROLE_PERMS = {  trainee:   ['course:read', 'enrollment:create', 'enrollment:read:own'],  trainer:   ['course:read', 'attendance:record'],  registrar: ['course:read', 'enrollment:read', 'enrollment:approve'],  manager:   ['course:read', 'course:delete', 'enrollment:read', 'report:finance', 'user:manage'],};const users = [  { id: 1, name: 'سارة', role: 'trainee' },  { id: 2, name: 'نورة', role: 'registrar' },  { id: 3, name: 'أ. فهد', role: 'manager' },  { id: 4, name: 'خالد', role: 'trainer' },];// رموز دخول مبسطة للتجربة؛ في النظام الحقيقي JWT كما في مقرر أطر الويبconst tokens = { 'tok-sara': 1, 'tok-noura': 2, 'tok-fahad': 3, 'tok-khaled': 4 }; // 1) المصادقة: من أنت؟function authenticate(req, res, next) {  const t = (req.headers.authorization || '').replace('Bearer ', '');  const user = users.find(u => u.id === tokens[t]);  if (!user) return res.status(401).json({ error: 'سجّل الدخول أولًا' });  req.user = user;  next();} // 2) التفويض: هل يحق لك؟const can = (user, perm) => (ROLE_PERMS[user.role] || []).includes(perm);function authorize(perm) {  return (req, res, next) =>    can(req.user, perm) ? next() : res.status(403).json({ error: 'لا تملك الصلاحية ' + perm });} const courses = [{ id: 1, title: 'تصميم الويب' }, { id: 2, title: 'قواعد البيانات' }]; app.get('/api/reports/finance', authenticate, authorize('report:finance'), (req, res) => {  res.json({ revenue: 12500 });}); app.patch('/api/me', authenticate, (req, res) => {  const u = users.find(x => x.id === req.user.id);  if (req.body.name) u.name = req.body.name;      // الحقول المسموحة فقط  res.json(u);}); app.delete('/api/courses/:id', authenticate, authorize('course:delete'), (req, res) => {  const i = courses.findIndex(c => c.id === Number(req.params.id));  if (i < 0) return res.status(404).json({ error: 'غير موجودة' });  courses.splice(i, 1);  res.json({ deleted: true });}); app.listen(3000);