【发布时间】：2020-12-06 00:57:32
【问题描述】：
我是 Spring Boot 的新手，尤其是 Spring Security。我关注了this 文章并创建了身份验证和授权流程。它使一些端点需要授权。Twitter 做同样的事情。它有一些端点不需要身份验证或授权，但有些需要。
但是对于受保护的帐户，还有另一层授权。例如;如果我通过了身份验证，我可以获取我关注的受保护帐户的关注者列表。但是即使我通过了身份验证，我也无法获取我不关注的受保护帐户的关注者。
我首先想到的是特定的 GET/POST 方法可以搜索他们的追随者/追随者，但这将是一个糟糕的解决方案。我听说过基于声明的授权。我怎样才能给用户非静态的权限？不像 'users:read' 而是 '/user_id/:read'
【问题讨论】：
-
你可能想看看Spring ACL，这里有一篇关于Spring ACL的文章baeldung.com/spring-security-acl
-
谢谢！这正是我正在寻找的。span>
-
太好了，我会把它添加为记录的答案
标签： spring spring-boot authentication spring-security authorization