Restful API 端点和不同的权限/能力

Question

假设我有一个供患者和医生使用的应用程序。

患者应该能够在 `site.com/api/patients/ 访问他们的信息。

医生也应该能够访问有关患者的信息，但会收到与患者不同的信息。

我可以想象两种处理方式：

api/patients 具有在不同权限之间进行拆分的逻辑

或

api/patients 用于患者和 api/doctors/patients 医生获取患者信息

这看起来相对不错，但后来我开始思考当医生和患者都可以为患者添加任务时会发生什么。

api/patients/tasks/ 让患者添加任务 BUT api/doctors/patients/tasks 就嵌套而言，这变得非常糟糕（我认为限制我的路线深度可能会更好）

拥有api/patients 并检查用户是医生还是患者还是嵌套资源更好？最佳实践的共识是什么（如果有的话）？

如果有这样的 API 端点就好了：

api/tasks/ api/patients api/doctors/

让事情变得简单，然后使用令牌或查询字符串控制权限/身份验证。

Answer 1

绝对不要做api/doctors/patients等

这应该是两种不同的 API，一种用于医生，一种用于患者吗？这取决于有多少功能重叠。

无论如何，您应该已经在跟踪用户的身份验证/授权信息。否则你会让医生修改不去看他们的病人。使用身份验证信息来确定调用者支持哪些值/选项。

我假设您正在处理我复制 Bob 博士的令牌/查询字符串并发送我自己的请求的情况？