check 'auth' parameter in each request