REST - 发送用户 ID 与从 Principal 获取用户 ID答案

【问题标题】：REST - sending user ID vs picking up user ID from PrincipalREST - 发送用户 ID 与从 Principal 获取用户 ID
【发布时间】：2016-11-15 13:23:42
【问题描述】：

我想知道为通用用例定义 RESTful 服务的正确方法。

我正在编写一个 RESTful API 来更新当前用户的个人资料。我们应该在请求中发送当前用户的 ID 吗？这将需要在服务器端进行验证，以便用户只能编辑自己的详细信息。所以我需要添加对用户 ID 和 Principal 对象的检查。此外，客户端必须在某处维护当前用户 ID。

POST /user/{id}

或者，我可以跳过发送用户 ID 并从 Principal 对象中获取用户详细信息。我们知道没有像 stateless secure API 这样的东西，这会是正确的方法吗？

我不知道 Spring 中的任何功能可以为我验证当前用户，如第一种方法所要求的那样。如果存在，请告诉我。

【问题讨论】：

标签： java spring rest spring-security

【解决方案1】：

考虑这样一种情况，即有权更新其他用户的管理员想要发送更新。在这种情况下，它将是POST /user/{id}。对于普通用户来说，没有理由不应该也是这种情况。

使用 Spring Security，您可以在控制器方法上使用 @PreAuthorize 表达式。它看起来像这样：

@PostMapping("/user/{id}")
@PreAuthorize("hasRole('ADMIN') || (principal.id == #id)")
public User updateUser(@RequestBody User newInfo, @PathVariable Long id) {
    ...
}

【讨论】：