如果未在REST-ful API中授權，則限制對字段的訪問

Question

假設您有User資源。它有很多領域。但是，並非所有字段都應該允許由普通用戶更新，但應允許管理員。有沒有共同的解決方案？

E.g. enabled只有在授權用戶是管理員的情況下才允許使用PUT請求進行更新。我應該怎麼做？

Answer 1

您是否聽說過春季安全授權？他們有基於用戶角色隱藏字段的方法。如果你的應用程序很大，整合它是有意義的。

1. 查找的methodlevel安全
2. 域對象的安全（ACL）

Answer 2

約這裏實體過濾 http://blog.dejavu.sk/2014/02/04/filtering-jax-rs-entities-with-standard-security-annotations/

好文章