add: auth check