找出这段生成控制器中的对象授权缺陷。
php
<?php
final class OrderController
{
public function update(Request $request, int $orderId): JsonResponse
{
$data = $request->validate([
'status' => ['required', 'in:cancelled'],
]);
$order = Order::findOrFail($orderId);
$order->update($data);
return response()->json($order);
}
}