Um id na URL não prova que o dado é seu: o filtro que quase toda API esquece