Как тестируешь авторизацию API

Я делю на две части. Аутентификация: запросы без токена, с мусором вместо токена, с просроченным, с токеном от другого окружения, с JWT, где поменял payload или поставил alg none: везде жду 401 и одинаковое сообщение, без подсказок, что именно не так. Авторизация: строю матрицу ролей и эндпоинтов и каждый привилегированный метод зову токеном роли ниже, жду 403. Отдельно IDOR: двумя пользователями пробую читать, менять и удалять объекты друг друга по id, это самый частый реальный баг. Потом mass assignment: добавляю в тело role или balance и смотрю, не изменилось ли. И жизненный цикл: после выхода и смены пароля старые токены не работают, refresh одноразовый, на подбор пароля стоит лимит. На вопрос, 403 или 404 на чужой объект, отвечу так: 404 не раскрывает, что объект существует, это допустимо, главное единообразие и отсутствие данных в ответе.