- allow SessionAuth()