具有不同权限的 RESTful 端点

Question

我正在创建一个 API，其中基于经过身份验证的用户可以更改对象的不同属性的权限。

解决这个问题的常用方法是什么？

我应该有这样的端点吗

/admin/users 和 /users 具有不同的 API 定义和功能？

这听起来很不灵活的设计，如果用户可以拥有像 can_modify_foo_prop 和 can_modify_bar_prop 这样的权限呢？

我在想一个更好的解决方案是只提供一个端点 /users 并且基于经过身份验证的用户角色，一些字段将改为只读/隐藏？这看起来更灵活，但在记录/实现时可能更烦人。

Answer 1

请记住，URI 表示统一资源标识符。这意味着给定的用户(概念)应该始终由相同的 URI 标识，因此我建议您的第二个建议，即拥有一个单一的层次结构/用户列表:

/users/1
/users/2
...

定义(在适当的媒体类型中)返回文档以根据当前用户的权限保存属性是可以接受的。

现在，关于它是否易于使用是主观的。我认为返回纯数据总是有点不方便，因为客户端必须解析和理解数据。这就是创建 HTML 和 HTML 表单的原因，因此客户端不需要知道如何 来呈现数据，也不需要知道什么是可编辑的，什么是不可编辑的。再一次，我不知道你的确切用例。