{"approved": false} и {} получают от allow if input.approved == true один и тот же ответ. И этот ответ undefined, а не false.
Хост принимает объект с необязательным булевым полем approved и разрешает работу только тогда, когда запрос возвращает true. Правило полное и без значения по умолчанию. Ни один из входов не делает его истинным, поэтому allow не определено в обоих случаях. Явный результат false был бы другим исходом, и хост должен знать, какой из них получил.
Выхода два. Добавить default allow := false, и оба входа вернут false. Или сохранить undefined и потребовать от хоста явной обработки. В любом случае, что означает отсутствие результата, решает хост. Аргументы есть у обоих вариантов, и я пока не выбрал.
Ни один вариант не проверяет, что входной документ вообще есть и что approved действительно булево. Это задача проверки входа, и она решается до запроса.
