Rest Api oauth2 限制用户访问其他用户数据的最佳方式答案

【问题标题】：Rest Api oauth2 best way to limit users accessing other users dataRest Api oauth2 限制用户访问其他用户数据的最佳方式
【发布时间】：2015-05-23 22:00:28
【问题描述】：

我们有由 Laravel 4 Php 框架创建的 Rest Api。我们正在使用范围和授权的组合来防止用户访问某些资源。但是我们在阻止一个用户访问另一个用户数据时遇到了问题。

例如-在我们的应用程序中，用户可以使用email 和password 登录，我们使用password 授权类型来创建access_token。用户可以使用浏览器调试费用查看他们的访问令牌。现在，该用户可以使用postman 或带有该access_token 的curl 请求来获取其他用户的数据。防止用户显示其他用户数据的最佳方法是什么？

【问题讨论】：

标签： rest laravel-4 oauth

【解决方案1】：

当用户登录系统时，创建具有角色和权限的 access_token 将该访问令牌返回给用户。当用户使用access_token 调用API 时，检查用户是否有权访问请求的数据。

如果该用户没有权限，则返回一些错误消息。

您可以为此创建过滤器，您可以在其中检查 access_token 权限。

对 Laravel 路由很有用-http://laravel.com/docs/4.2/routing

【讨论】：