如果未在 REST-ful API 中授权，则限制对字段的访问

Question

假设您有一个User 资源。它有很多领域。但是，并非所有字段都应允许由普通用户更新，但应允许管理员。有什么常见的解决方案吗？

例如enabled 应该只允许在授权用户是管理员的情况下使用 PUT 请求进行更新。我该怎么做？

Answer 1

你听说过 spring-security 授权吗？他们有一种基于用户角色隐藏字段的方法。如果您的应用程序很大，那么集成它是有意义的。

1. 查找方法级安全性
2. 域对象安全 (ACL)

Answer 2

关于实体过滤的好文章在这里 http://blog.dejavu.sk/2014/02/04/filtering-jax-rs-entities-with-standard-security-annotations/