A autenticação e as leituras da API são reais. As permissões exibidas ainda são um instantâneo fixo de demonstração — a avaliação real de RBAC/ABAC é entrega de G-06, e quem de fato autoriza cada requisição é o servidor.