Пользователь отправил is_paid=true в форме и получил оплаченный заказ

public function store(Request $request)
{
    $order = Order::create($request->all());
    return new OrderResource($order);
}

В модели Order задано protected $guarded = [];. Пользователь добавил в запрос поле is_paid=true, и заказ сохранился оплаченным. Как защититься?