如何为缺少的资源建模权限？

Question

我有以下REST资源：

• /company返回公司列表
• /companies/{id}返回公司状态
• /companies/{id}/departments返回公司中的所有部门
• /employee/{id}/departments返回员工工作的部门
• /departments/{id}返回部门状态

/companies资源具有关联的query权限令牌。当客户端引用不存在的公司/companies/{id}时，我检查他们是否有权访问query。如果是，则返回HTTP 404（“not found”），否则返回HTTP 403（“biabled”）

到目前为止还不错。当客户端引用不存在的/departments/{id}资源时，就会出现问题。因为部门不存在，所以我无法弄清楚它与什么公司和query权限令牌关联。

看来我们又回到了传统的可用性/安全性权衡：

• 通过假设每个人都有权知道资源是否存在来提高可用性（返回明确的错误消息，指出出了什么问题），或者
• 如果缺少资源或权限被拒绝，则返回vague错误代码以提高安全性（返回vague错误消息以隐藏是否存在资源或是否定义了权限）。

还有别的办法吗？

Answer 1

我最终删除了query权限。任何人都可以查找任何资源，如果他们知道它的地址。意思是，我不会试图阻止未经授权的用户发现一个资源是否存在。