我必须保护已经由权限保护的请求吗?

我有一个管理员网站,每个url都需要一定级别的权限。其中一个URL用于通过SSH(不同的机器)删除用户的文件夹。拥有此url所需权限的管理员还可以访问每个用户的所有信息(gdpr受限除外)。基本上,这是一种超级管理员。此管理员发布的用户名是ssh shell cmd(漏洞)中使用的路径的一部分。我的同事最近指出,权限是不够的,即使对于管理员,输入也应该得到保护(f.e.regexp)。真的有必要吗?我们应该考虑管理员(有权删除所有用户文件夹)想要入侵虚拟机的情况吗?