RESTful API中的授权

Question

我正在使用restul api，无法找到我的问题的解决方案。

我有一个获取请求以按ID获取资源，我已经实现了基本身份验证。

现在，如果有人更改了get请求中的ID，他也可以访问其他用户的资源。

如何限制用户仅查看其资源，是否必须为每种资源创建一些安全筛选器？

任何与防止此类问题的最佳做法的链接都将受到赞赏！

Answer 1

简短的答案是：是的，如果实际上允许用户访问该资源，则需要开发一些检查每个资源的工具。

如果不允许该用户，则返回403 Forbidden HTTP错误。

Answer 2

如果用户具有访问权限，则该请求应具有一些与授权相关的字段作为令牌访问。 使用它，您可以验证哪个用户正在请求数据，如果允许，则可以照常继续执行GET。 过滤器将非常适合此。

在此处检查授权 ： https : //en.wikipedia.org/wiki/List_of_HTTP_header_fields 。