通过用户权限过滤RESTful API中资源的最佳方法是什么？

Question

假设我们有两种用户，管理员和标准用户。

我们有一个名为post的资源。 对于GET方法，我希望管理员查看所有帖子，但标准用户只能看到post.created_by={currentUserID}帖子。

现在我有三个选择：

• 使用/api/post和/api/mypost 。 好处是我可以轻松控制返回的结果并根据用户范围分配不同的权限。 下行是我将重复代码和文档。

• 对于标准用户和标准用户使用/api/post ，如果没有?createdBy={id}则拒绝该请求。

• 对两者都使用/api/post ，但根据身份验证，该方法的行为会有所不同。 对于标准用户，始终会过滤返回的列表。 对于/api/post/{id}它将为不属于用户的帖子返回HTTP 403。

我应该选择哪一个？

Answer 1

第一种选择并不理想，因为（如你所说），它很容易出现代码重复。

如果第二个不仅仅是currentUserID就有意义，那么它也可以起作用。

但是，鉴于您必须以任何方式进行身份验证，我会选择第三种方案，因为它可能是最广泛的解决方案。 不同的用户根据他们的权限/组合看到不同的东西，干净的方式，没有搞乱url的查询字符串。