授权：用户权限VS服务的权利

Question

我有一个使用JWT为验证2种类型的客户提供REST API： - 通过一个Web应用程序 用户 - 服务

每个客户都有自己的权利（例如，一个可以访问资源1但不是使用API​​的资源2）。

现在，一个服务可以拥有一个UI，我所面临的问题是，我真的不知道哪些权利应该当一个请求是由服务通过服务UI用户操作发送的API考虑：服务权利？用户权限？两者的交集？例如，假设API通过'GET/products`提供产品列表，那么该列表可能受到客户权限的限制： - 用户U可以列出product1，product2。 - 服务S可以列出产品2，产品3。 服务S的用户界面中应列出哪些产品？

Answer 1

如果我理解你的要求，你应该考虑用户和业务的交叉点。在没有其他服务的情况下，没有“服务权利”或“用户权利”之类的东西。相反，有规则规定哪些用户可以访问哪些服务。

通常任何REST呼叫由第一标识用户和验证用户可以访问该服务，则如果证实执行实际服务的服务器上进行处理。