fix: refuser par défaut is-payload-owner sans en-tête Authorization

src/policies/__tests__/is-payload-owner.test.js

@@ -26,11 +26,11 @@ function buildPolicyContext({authorization, payloadUserId}) {
 }
 
 describe('is-payload-owner policy', () => {
-  it("autorise quand aucun en-tête d'autorisation n'est présent", async () => {
+  it("refuse quand aucun en-tête d'autorisation n'est présent", async () => {
     const strapi = buildStrapi(999)
     const policyContext = buildPolicyContext({authorization: undefined, payloadUserId: 1})
 
-    await expect(isPayloadOwner(policyContext, {}, {strapi})).resolves.toBe(true)
+    await expect(isPayloadOwner(policyContext, {}, {strapi})).rejects.toThrow('Opération non autorisée')
   })
 
   it('autorise quand le user du JWT correspond au user du payload', async () => {

src/policies/is-payload-owner.js

@@ -6,7 +6,7 @@ module.exports = async (policyContext, config, {strapi}) => {
   const {request} = policyContext
 
   if (!request?.header?.authorization) {
-    return true
+    throw new UnauthorizedError('Opération non autorisée')
   }
 
   try {