Auth & permission

• action1: công khai - phù hợp health-check hoặc demo; không dùng cho dữ liệu nhạy cảm.
• action2: cần phiên đăng nhập hợp lệ (token/cookie theo cấu hình app).
• action3: kiểm tra ctx.auth.user trong predicate - có thể thay bằng kiểm tra role, department, v.v.

Khuyến nghị bảo mật

Sau khi học pattern, xóa hoặc tắt resource demo trên môi trường public; luôn map quyền với model role trong DB khi dùng production.