Согласен, с JWT и куками автомат иногда сбоит, особенно когда токены везде в запросах. Лучше тупо вручную менять ID по одному — так точно видно, где реально дырка, а где авторизация срабатывает правильно. Автоматы — прикольная штука для быстрой фильтрации, но в конце всегда приходится руками ковырять.