Как не допустить ошибок контроля доступа

Образцовый ответ: «Начинаю с запрета по умолчанию: в DRF DEFAULT_PERMISSION_CLASSES = IsAuthenticated, в FastAPI зависимость текущего пользователя на уровне роутера, а публичные эндпоинты открываю явно. Доступ к объектам строю так, чтобы его нельзя было забыть: все запросы к данным идут через базовый queryset или репозиторий, который уже отфильтрован по организации пользователя, а организация берётся из токена, не из параметров запроса. Чужой объект тогда просто не найдётся и вернётся 404, это заодно не раскрывает его существование. Права на действия описываю в одном слое, permission-классах или политике, а не россыпью if по вьюхам. Обязательно тесты: для каждого эндпоинта проверяю, что пользователь другой организации получает 404, а роль без права получает 403. И не забываю про обходные пути: экспорт в CSV, фоновые задачи, вебхуки, админку, там проверки часто теряются. UUID усложняют перебор, но не заменяют проверку».