Czy mozna chronic przed niechcianymi metodami http od innego uzytkownika w jednej warstwie abstrakcyjnej ?

Czesc, chodzi o taki case: user o id: 1, powinien moc wykonac tylko metody GET, UPDATE, DELETE, POST dla danych o jego id, user id != 1 nie moze tego zrobic. Jesli chodzi o GET to rozwiazalem to w ten sposob ze leci request typu :userId/some_path i pozniej middleware patrzy czy payload tokena zgadza sie z tym co jest odbierane (:userId). Natomiast nie wiem jak to osadzic dla innych metod HTTP. Wiem, ze mozna by to zrobic dla kazdego zapytania, tzn. przeszukiwac danego user'a a dopiero potem wykonywac, ale moze idzie to lepiej zrobic ?

Pozdrawiam.