Il vincolo di autorizzazione è la pratica di collegare l'approvazione a una sola azione esatta, a una sola risorsa di destinazione e a una sola destinazione. Impedisce che un generico "sì" venga riutilizzato per un'operazione diversa, ad esempio modificando una richiesta, ampliandone l'ambito o inviandola a un nuovo sistema. Nella progettazione della sicurezza, l'identità da sola non basta: un utente valido, un token o un partecipante a una chat necessita comunque dell'autorizzazione per l'azione specifica che sta tentando di eseguire.
Questo è importante perché i flussi di lavoro automatizzati e gli agenti possono trasformare approvazioni ampie in una via di aggiramento. Se un bot tratta un messaggio, un ticket o una richiesta in un canale condiviso come un'autorizzazione generale, può diventare un deputy confused ed eseguire azioni ad alto impatto al di fuori delle policy. Le difese efficaci ricontrollano l'approvazione al momento dell'esecuzione, verificano che il richiedente e la destinazione corrispondano ancora e registrano l'operazione esatta, la risorsa e l'esito ai fini dell'auditabilità.