Подставив чужой номер в адрес /orders/{order}, пользователь видит чужой заказ

Route::get('/orders/{order}', [OrderController::class, 'show'])->middleware('auth');

public function show(Order $order)
{
    return new OrderResource($order);
}

Любой авторизованный пользователь, перебирая номера, получает адреса и телефоны других покупателей. Что добавить?