На сервере готова авторизация и валидация данных по всем маршрутам, изменяющим данные. На клиенте в зависимости от роли текущего пользователя отображаются или скрываются недоступные ему кнопки.