Restful apis的授权

Question

我正在致力于restul api，无法找到解决问题的方案。

我有一个通过ID获取资源的请求，我已经实现了基本认证。

现在，如果有人更改了获取请求中的Id，他也可以访问其他用户的资源。

如何限制用户只能看到他的资源，我是否必须为每种类型的资源创建一些安全过滤器？

任何链接到最佳实践，以防止这种问题将不胜感激！

Answer 1

简短的回答是：是的，如果用户实际上被允许访问该资源，则需要开发一些用于检查每个资源的内容。

如果用户不被允许，您将返回一个403 Forbidden HTTP错误。

Answer 2

如果用户有访问权限，那么请求应该有一些授权相关字段，作为令牌的访问权限。有了它，你可以验证哪个用户正在请求数据，如果允许，那么你照常继续进行GET。一个过滤器将适合这个。

检查授权这里：https://en.wikipedia.org/wiki/List_of_HTTP_header_fields。