Todo lo del navegador se puede cambiar

Todo lo que viene del navegador lo puede escribir la persona que lo usa: botones escondidos, datos en la dirección, campos del formulario, el almacenamiento local. Esconder un botón de "Borrar usuarios" no protege nada, porque el atacante manda el pedido directamente, sin pasar por el botón.

El fallo más común: el curioso de los números

Si la dirección dice /pedido/1042 y el servidor no comprueba de quién es ese pedido, alguien cambia el número por 1043 y ve el de otra persona. Se llama IDOR (referencia directa insegura a un objeto) y es uno de los fallos más frecuentes.

Otro fallo distinto es decidir permisos con un dato que manda el navegador, como ?es_admin=false: cambiarlo a true es lo primero que prueba un atacante. Eso no es un IDOR: se llama escalada de privilegios, porque la persona se da a sí misma más permisos de los que tiene.

Lo que hace un buen guardia

Cada vez que llega un pedido, el servidor sigue siempre el mismo orden: identifica quién sos con tu sesión, revisa qué rol y permisos tenés, comprueba que el dato pedido sea tuyo o que tengas permiso sobre él, y recién ahí hace la acción o devuelve el dato. Saltearse un paso es abrir un agujero.

// MAL: devuelve el pedido que pida la dirección, sea de quien sea
app.get("/pedido/:id", async (pedido) => {
  return await buscarPedido(pedido.params.id);
});

// BIEN: solo lo devuelve si es de la persona que lo pide
app.get("/pedido/:id", async (pedido) => {
  const p = await buscarPedido(pedido.params.id);
  if (!p || p.usuarioId !== pedido.usuario.id) return noEncontrado();
  return p;
});