REST API - 如何实现用户特定授权？

Question

So I'm currently learning/building a REST API backend server for my web application using NodeJS, ExpressJS, and MySQL as the database. 我的问题是关于实施授权以确保用户 A 不会访问或编辑属于另一个用户的数据的最佳方式。 请注意，我了解有很多实施基于角色的授权的示例（即用户组与管理员组等），但这不是我要问的。 相反，我如何授权用户访问他们正在访问的数据？

我可能想多了，这甚至没有必要； 我应该在每个 SQL 查询中检查数据是否属于用户，但我想我会问是否有中间件或策略架构来处理这个问题，或者甚至可以通过缓存进行授权。

我能想到的唯一解决方案是每个 SQL 查询都返回用户 ID 和结果，然后我只创建一个服务来检查每个结果是否匹配。 如果是，则继续。 如果不回滚查询并返回未经授权的错误。 这个可以吗？

我非常感谢您的建议，帮助，如果您能指出我正确的方向。

提前谢谢了。

Answer 1

在每个表中保存 userId（或 ownerId），并创建一个中间件，其中每个 db 访问方法都需要 userId 作为参数，例如：

readOne(id, userId) {
    // implements SELECT * FROM example WHERE id = id AND userId = userId
}

updateOne(id, data, userId) {
    // implements UPDATE example SET data = data WHERE id = id AND userId = userId
}
...

出于安全原因，切勿将“您不是所有者请求的数据存在”作为响应发送。

Answer 2

最简单的事情通常效果最好。 您不必拥有检查每个实体的授权权限的特殊服务，您可以在数据访问级别执行此操作，例如。 SELECT * FROM foo WHERE user_id =:currentUser或UPDATE foo SET foo = bar WHERE user_id =:currentUser

这还取决于您是否要通过 HTTP401 通知用户有关未经允许的访问，或者是否要显示对于不同的用户 HTTP404 甚至存在这样的资源。

对于 HTTP401，场景将是：

const entity = loadFromDB(id);
if(entity.userId !== currentUserId) { 
  res.send(401); 
  return;
}

... update entity logic ...