groupを使っている時にuseridとgroup名が同じ場合、認可されてしまう気がしたのでちょっと調べたことです。結論としては、callbackでgroupfinderを叩かない、 もしくは、AuthenticationPolicyは自前で実装するほうが安全だと思います。誤解していなければ問…