如何根據授權拆分數據字段和邏輯？

Question

例如我有posts端點，post有title,description，status。當我向用戶顯示帖子時，我想將post字段限制爲title和description。但是當我顯示post給管理員我想發送post的所有字段，那麼它怎麼吐呢？對於包含所有字段的管理員，我可以爲用戶創建兩個後期模型，分別爲title和description，查看用戶的角色並決定選擇哪個模型。或者在每個模型和角色上創建規則，以角色來查看角色和剪切數據。我使用graphql，只能獲取我需要的字段，但它不是安全的，因爲用戶可以修改請求並獲取所有數據。如何解決這個問題？

謝謝！

Answer 1

我不會讓兩個模型，但限制在服務器端用戶訪問只有title和description。

在客戶端，如果用戶是管理員，我只會另外要求status。 （要使這個優雅，請參閱fragments。）

您需要在服務器端確定某人是管理員還是普通用戶，否則沒有API可以將您從修改的請求中解救出來。