تحسين الصلاحيات من التهديدات وملاحظات المستخدمين

const express = require('express');const app = express();app.use(express.json()); // من مصفوفة الصلاحيات (الدرس 16) إلى الكود مباشرةconst ROLE_PERMS = {  trainee:   ['course:read', 'enrollment:create', 'enrollment:read:own'],  trainer:   ['course:read', 'attendance:record'],  registrar: ['course:read', 'enrollment:read', 'enrollment:approve'],  manager:   ['course:read', 'enrollment:read', 'report:finance', 'user:manage', 'audit:read'],};const users = [  { id: 1, name: 'سارة', role: 'trainee' },  { id: 2, name: 'نورة', role: 'registrar' },  { id: 3, name: 'أ. فهد', role: 'manager' },  { id: 4, name: 'خالد', role: 'trainer' },];// رموز دخول مبسطة للتجربة؛ في النظام الحقيقي JWT كما في مقرر أطر الويبconst tokens = { 'tok-sara': 1, 'tok-noura': 2, 'tok-fahad': 3, 'tok-khaled': 4 }; // 1) المصادقة: من أنت؟function authenticate(req, res, next) {  const t = (req.headers.authorization || '').replace('Bearer ', '');  const user = users.find(u => u.id === tokens[t]);  if (!user) return res.status(401).json({ error: 'سجّل الدخول أولًا' });  req.user = user;  next();} // 2) التفويض: هل يحق لك؟const can = (user, perm) => (ROLE_PERMS[user.role] || []).includes(perm);function authorize(perm) {  return (req, res, next) =>    can(req.user, perm) ? next() : res.status(403).json({ error: 'لا تملك الصلاحية ' + perm });} const enrollments = [  { id: 1, traineeId: 1, status: 'pending' },  { id: 2, traineeId: 5, status: 'pending' },];const audit = []; function log(user, action, target) {  audit.push({ actor: user.name, action, target, at: new Date().toISOString() });} app.patch('/api/enrollments/:id/approve', authenticate, authorize('enrollment:approve'), (req, res) => {  const e = enrollments.find(x => x.id === Number(req.params.id));  if (!e) return res.status(404).json({ error: 'غير موجود' });  e.status = 'approved';  log(req.user, 'enrollment:approve', e.id);  res.json(e);}); app.get('/api/audit', authenticate, authorize('audit:read'), (req, res) => {  res.json(audit);}); app.listen(3000);