Как спроектировать авторизацию в мультитенантном SaaS на базе IAuthorizationHandler и политик, чтобы tenantId из JWT не подменялся через query-параметр? Что произойдёт при смешении [Authorize(Roles)] и кастомных политик на одном эндпоинте?