كلمات المرور والتفويض و IDOR

const express = require('express');const app = express();app.use(express.json());app.use(express.urlencoded({ extended: false })); const orders = [  { id: 1, userId: 1, total: 330 },  { id: 2, userId: 2, total: 90 },];const SESSIONS = { 'tok-sara': 1, 'tok-khaled': 2 };function auth(req, res, next) {  const id = SESSIONS[(req.headers.authorization || '').replace('Bearer ', '')];  if (!id) return res.status(401).json({ error: 'سجّل الدخول' });  req.userId = id; next();} app.get('/orders/:id', auth, (req, res) => {  const o = orders.find(x => x.id === Number(req.params.id));  if (!o) return res.status(404).json({ error: 'غير موجود' });  res.json(o);                       // ✗ لا يتحقق أن الطلب يخص المستخدم});app.listen(3000);