Код-ревью безопасности: вход и профиль

builder.Services.AddAuthentication().AddJwtBearer(o =>
{
    o.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = false,
        ValidateAudience = false,
        ValidateLifetime = false,
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("secret"))
    };
});
builder.Services.AddCors(o => o.AddDefaultPolicy(p => p.AllowAnyOrigin().AllowAnyHeader().AllowAnyMethod()));

app.MapPost("/login", async (LoginDto dto, AppDbContext db) =>
{
    var user = await db.Users.FirstOrDefaultAsync(u => u.Email == dto.Email && u.Password == dto.Password);
    if (user == null) return Results.BadRequest($"Пользователь {dto.Email} не найден или пароль неверный");
    return Results.Ok(TokenFor(user));
});

app.MapGet("/users/{id}", async (int id, AppDbContext db) => await db.Users.FindAsync(id));

app.MapPost("/avatar", async (IFormFile file) =>
{
    var path = Path.Combine("wwwroot/avatars", file.FileName);
    await using var fs = File.Create(path);
    await file.CopyToAsync(fs);
}).DisableAntiforgery();