在以下场景中：
可以向/game/{id} 发送请求以获取游戏数据，每个客户端的数据都应该相同，例如：
{
name: 'My Game',
sport: 'Football'
...
}
假设我们必须在主游戏屏幕中为游戏所有者显示“设置”链接。普通玩家无法显示此“设置”链接。
玩家和所有者都可以看到主游戏屏幕。
如何验证此资源的所有权以向用户显示不同的组件？
ownerId 是一种责任，因为可能会更改客户端的值，对吗？isOwner 字段将无法缓存响应。【问题讨论】：
标签： rest api restful-architecture restful-url
这里的答案可能在于 HATEOAS 类型的结构。您的资源应包含指向其他信息/子项/列表等的可导航链接列表。如果“设置”是请求用户的选项，则应将指向设置的链接作为对象的一部分返回，否则没有此类链接会存在。
缓存：这确实存在问题，但可以解决。
【讨论】：
让我们来谈谈服务器应用程序和客户端应用程序。客户端应用程序包含游戏主屏幕，并且应该根据某事显示或隐藏一些窗格。
服务器应用程序应该提供这个东西。由于服务器应用程序是 REST，它应该提供一些资源。资源是什么类型的，应该放在哪里？
GET /games/{gameId}/users/{userId}/something
GET /users/{userId}/games/{gameId}/something
可以将此某事称为用户的权利或许可。这是单独的资源吗？可能不。这样就可以实现方法了
GET /games/{gameId}/users/{userId}
该方法将返回用户的个人资料和ID为{gameId}的游戏的相应权限，如下所示：
{
givenNames: 'Miguel de Cervantes',
familyName: 'Saavedra',
totalScore: 10342,
permissions: {
canClose: false,
canSetup: false,
. . .
}
}
当然，服务器应用程序应该检查每个客户端请求的权限。
【讨论】：
/users/{id} 端点获取。是否可以在这个建议的端点 (/games/{gameId}/users/{userId}) 中也包含与用户相关的数据？
permissions 节点将成为整个应用程序的标准，那么在文档中记录不同类型权限键（canClose、canSetup...）的最佳方式是什么？
Permissions 是一个简单的非大型集合，因此您可以将其包含在用户对象中。在JSON API 中，您可以使用include 查询参数来传递所需的可选字段。
我认为首先你必须解决与资源责任相关的概念问题，因为返回游戏信息的资源不应该返回诸如“看到或不看到按钮”之类的安全信息。
所以，我会创建一个特定的资源来返回这样的安全信息。 在这个特定的安全资源中，对于上面提到的情况，我不会通过 URL 传递任何参数，而是通过身份验证哈希获取用户 ID 来验证他是否是游戏所有者，返回一个简单的响应，比如 true 或 false 来知道如果该用户可以看到该按钮。
显然，该资源可以回答很多关于其他屏幕和按钮的安全信息。
类似的资源：
GET /security/buttons/{buttonId}
未来：
GET /security/screens/{screenId}
GET /security/functionalities/{functionalityId}
GET /security/actions/{actionId}
.
.
.
【讨论】：