Spring MVC Rest Resource 的条件字段可见性

Question

首先我想稍微提一下架构。

我们有一个 UI 应用程序，它对所有操作和用例使用 REST api。 UI 应用程序使用凭据来调用 REST api，因为还有其他非 UI 应用程序使用相同的服务。

我们使用 Spring Security 对 REST api 应用程序进行身份验证和授权。实际上整个应用程序从上到下都使用了 Spring 组合。

对于 UI 应用程序上的操作的身份验证和授权，我们还使用 Spring Security。我们保护 url 并仅显示当前登录的用户被授权执行的操作。

这是新的要求：一些已登录的用户会看到有限制的资源。这意味着相同的资源会显示更少的字段或更少的可更新字段。

四处探索，我们缩小到两种方法：

• 对每个受限访问使用不同的表示。基于一些 HTTP 标头集并为客户端所知。
• 为每个受限访问使用不同的资源。

如果资源表示组合太多，不同的资源对象可能难以维护。可以实现基于 HTTP 标头的自动限制器方面。客户端还提供了一些标头，这给客户端增加了一些复杂性。

如果组合不是太多，则会为每个受限访问创建一个新资源。客户必须在正确的时间打电话给正确的人。这种方法可以揭示隐藏的领域概念，因为新资源和设计可能看起来更干净。

你的想法是什么？你会采取哪种方法？

Answer 1

从您的架构来看，我猜您已经设置了安全过滤器（我相信它在 Spring 中称为 OncePerRequestFilter？）。我过去处理这个问题的方法是使用我的安全过滤器来获取客户端的“角色”（假设您可以为每个客户端分配角色，这些角色映射到每个资源对象的特定权限/限制）。现在基于“角色”，我有自定义 JSON 序列化器/反序列化器策略（我将 GSON 用于此包含/排除类型适配器。您可以阅读更多 here (Gson custom seralizer for one variable (of many) in an object using TypeAdapter) ）将处理应该/不应该填充哪些资源字段/序列化。这样，您将继续为每个资源对象使用相同的资源对象和 TypeAdapter，这将根据客户端的角色确定资源对象的序列化/反序列化。

我想到的另一个想法是方法拦截器（Spring AOP）。尽管我从未尝试过使用方法拦截器，但我认为它仍然可以工作，因为您将在方法返回之前（以及在业务逻辑完成之后）拦截方法并查看发出请求的客户端的角色。基于该角色，您可以在将其转换为 json（或任何您的返回类型）并将其发送到客户

我希望这会有所帮助。