如何根据RestAPI中的角色控制响应属性？

Question

我们尝试使用用户访问控制实现 RestAPI，其中相同的 URI 应为具有不同角色的两个用户返回不同的响应。比如说，对 URI 的响应（/resource/123）

{
    "customer_name":"user_name", #String
    "location":"000", #String
    "age":30 #Int
    "has_submitted_tax":true #Boolean
}

如何根据角色隐藏每个属性。

隐藏用户不应访问的节点

问题：这会破坏响应结构。客户端可能会中断，因为预期的节点会被遗漏。

为该节点返回 null。

问题:这将破坏响应数据类型。因为“布尔”节点将具有空值。

返回该节点的默认值。

问题:这里的节点将有一些值，其中有一个相等的机会为节点返回实际值。(默认值为实际值)

Answer 1

没有正确或错误的答案。这完全取决于客户端和服务之间的契约。当您为例如getCustomer（）定义合约时，该合约将规定

< li >某些值可能是空字符串，或者 < li >掩码值是xxx，或者 < li >该字段可能根本不存在(类似于XML中的可选元素)

这总结了你的三种方法。只要客户知道你选择了哪种策略，那么就没问题。

如果您正在对具有大量期望某种行为的客户端的现有API应用授权，那么您最好的选择是选择掩码值，其中值被替换为默认值。风险与其说默认值可能是真实的，不如说最终用户不知道信息已被掩码。