java - 基于角色的授权 REST API

Question

我正在为 OMS(订单管理系统)构建一个 REST API(使用 Jersey 进行休息，使用 Spring 进行 DI 和 AOP，JDBC 模板)，其中具有不同角色的多个用户将可以访问它包含的资源。

为了简单起见，我们有三个角色:客户、经理、管理员

客户将只能访问他们的订单。经理将有权访问所有订单。管理员将有权访问所有订单，还拥有一些额外的功能。

那么我可以在这里做什么:1.为每个角色创建单独的API2.所有角色的单一API

Answer 1

当然，针对所有角色的单一 API，根据您使用的安全性，您将授权您的请求，并根据尝试访问它们的用户的角色授予页面权限。

在大多数情况下，当我们谈论 RESTful API 时，您会从客户端向服务器发送一次凭据(主要是在登录时，这取决于系统)。然后服务器会返回一个 cookie 或 token ，其中包含有关角色、邮件或您放入其中的任何信息，这又取决于您的安全性。现在在客户端中，根据您刚从服务器获得的角色，您将指定用户可以访问哪些页面。