Strapi 后端和查询限制

Question

我目前正在使用Strapi作为网店的后端，并且面临这样的问题：默认情况下，Strapi在GET查询中返回所有数据，例如http://host.com/users将返回所有用户的字段，包括privateMessages，orders , favoritedProducts，但这些数据应该是私有的。如何限制这一点，让每个用户只能获得自己的私人数据？

Strapi 也有奇怪的权限设置，如果我允许更新 User 模型，那基本上意味着其他用户可以执行 PUT 查询和编辑其他用户的数据，但是如果我限制更新 User 模型，那么用户无法更新自己的数据

Answer 1

为此，您必须根据ctx.state.user 中的信息添加自定义逻辑

这里有文档https://strapi.io/documentation/3.x.x/guides/authentication.html#user-object-in-strapi-context

您可以创建一个策略并将其应用到您想要的路由或更新您的控制器代码以限制访问。