RESTful API中的授權

Question

我正在使用restul api，無法找到我的問題的解決方案。

我有一個獲取請求以按ID獲取資源，我已經實現了基本身份驗證。

現在，如果有人更改了get請求中的ID，他也可以訪問其他用戶的資源。

如何限制用戶僅查看其資源，是否必須為每種資源創建一些安全篩選器？

任何與防止此類問題的最佳做法的鏈接都將受到贊賞！

Answer 1

簡短的答案是：是的，如果實際上允許用戶訪問該資源，則需要開發一些檢查每個資源的工具。

如果不允許該用戶，則返回403 Forbidden HTTP錯誤。

Answer 2

如果用戶具有訪問權限，則該請求應具有一些與授權相關的字段作為令牌訪問。 使用它，您可以驗證哪個用戶正在請求數據，如果允許，則可以照常繼續執行GET。 過濾器將非常適合此。

在此處檢查授權 ： https : //en.wikipedia.org/wiki/List_of_HTTP_header_fields 。