O Que Acontece Quando o Usuário Altera a URL?

Imagine que uma aplicação possua a seguinte rota:

/pedidos/123

O usuário pode tentar alterar o identificador manualmente:

/pedidos/456

Por isso, o sistema não pode liberar um registro apenas porque o identificador existe.

O servidor precisa verificar se o pedido pertence ao usuário ou à empresa autenticada:

const pedido = await prisma.order.findFirst({
  where: {
    id: pedidoId,
    restaurantId: session.user.restaurantId,
  },
});

Se o pedido pertencer a outro restaurante, a consulta não retornará nenhum resultado.

Essa validação também deve ser aplicada antes de atualizar ou excluir registros.

Conclusão

A URL pode ser alterada livremente. A proteção real deve estar nas validações realizadas pelo servidor.