ロールベース認可REST API

Question

異なるロールを持つ複数のユーザーがリソースにアクセスできるOMS（Order Management System）用のREST API（残りのJerseyとDIとAOPのJDBC、JDBCテンプレート）を構築していますを含む。顧客、マネージャー、管理

お客様のみ、そのためにアクセスすることができます：

は、我々は3つの役割を持って簡単にするためにしてみましょう。マネージャーはすべての注文にアクセスできます。管理者はすべての注文へのアクセス権を持ち、さらにいくつかの機能を備えています。

だから私はここで何を行うことができます。春とのすべての役割

Answer 1

ための各役割 2.Single APIの 1.Create別のAPIあなたは、スプリングMVC、スプリング・セキュリティライブラリを使用することができ、ウィッヒは、あなたがすることができますAPIのための明確かつシンプルなperrmissionルール作り：

@PreAuthorize("hasRole('ADMIN')") 
public void doAdminAction(); 

Docs here

Answer 2

を当然のすべての役割のための単一のAPIおよび使用セキュリティに応じて、あなたの要求とあなたを承認しますアクセスしようとするユーザーの役割に応じてページにパーミッションを与えます。

ほとんどの場合、RESTful APIについては、クライアントからサーバーに一度資格情報を送信しています（ほとんどの場合、ログインはシステムによって異なります）。次に、サーバーは、ロール、メール、またはそれに入れたものに関する情報があるCookieまたはトークンを戻します。これは、セキュリティーによって異なります。クライアントからは、その役割に応じて、サーバーから取得したページでユーザーがアクセスできるページを指定します。