如何根据授权拆分数据字段和逻辑？

Question

例如我有posts端点，post有title,description，status。当我向用户显示帖子时，我想将post字段限制为title和description。但是当我显示post给管理员我想发送post的所有字段，那么它怎么吐呢？对于包含所有字段的管理员，我可以为用户创建两个后期模型，分别为title和description，查看用户的角色并决定选择哪个模型。或者在每个模型和角色上创建规则，以角色来查看角色和剪切数据。我使用graphql，只能获取我需要的字段，但它不是安全的，因为用户可以修改请求并获取所有数据。如何解决这个问题？

谢谢！

Answer 1

我不会让两个模型，但限制在服务器端用户访问只有title和description。

在客户端，如果用户是管理员，我只会另外要求status。 （要使这个优雅，请参阅fragments。）

您需要在服务器端确定某人是管理员还是普通用户，否则没有API可以将您从修改的请求中解救出来。