Em muitas aplicações corporativas, a autenticação está aparentemente correta: há SSO, token JWT, integração com provedor de identidade e controle de sessão. O problema começa depois do login, quando a API assume que qualquer usuário autenticado pode acessar recursos, consultar identificadores previsíveis ou executar ações sem validação granular de permissão.

A proposta é mostrar, de forma prática e objetiva, como falhas de autorização aparecem em APIs reais: BOLA/IDOR, exposição de dados por manipulação de parâmetros, abuso de claims em JWT, ausência de segregação por perfil e erros comuns em aplicações internas integradas a provedores como Entra ID. A ideia é sair do discurso genérico de “token seguro” e discutir o que realmente precisa ser validado no backend para evitar acesso indevido a dados e funcionalidades sensíveis.