exato! você pode validar no middleware também! chamando a mesma rota para validar o acesso do usuário, além de aproveitar e devolver o usuário atualizado para o front tbm! cada caso é um caso