我应该将用户 ID 放在 REST url 中还是从身份验证中获取

Question

我正在使用 Express.js 构建一个 RESTful api。假设我有一些Users 拥有Resources。获取特定User 的Resources 的好方法是：GET /users/:user_id/resources。

我为 api 实现了身份验证，因此可以从 req.user.user_id 而不是从 url 获取 user_id。这意味着我可以使用GET /resources 从经过身份验证的用户那里获取资源。

我的问题：这是一种好的做法吗？为什么（或为什么不）？

Answer 1

我认为，这是不好的做法。资源应该返回所有资源，而不是以任何方式过滤。我会说最好有一个额外的端点/user/resources。这样，响应将是：

1. /users/15/resources - 如果允许，将为用户 15 或 403 提供资源。
2. /user/resources - 将为经过身份验证的用户提供资源（如果我是用户 15，那么这将给出与 1 中相同的响应。）或 404 或 403。
3. /resources - 将提供未过滤的资源（如果禁止，则不要创建此端点，或仅返回公共资源）。