JWT鉴权场景下如何防止用户非法访问其他用户PII？

1. 当前实现是否合规？ #

绝对不合规。这种允许任意授权用户获取全量用户PII（姓名、邮箱、手机号等）的实现，严重违反了数据隐私保护的核心原则——最小必要访问，也不符合GDPR、CCPA等主流数据合规法规的要求，这些法规明确规定用户敏感隐私数据只能被有合法业务需求的主体访问。

2. 持有JWT的用户是否可获取系统中所有用户的PII？ #

是的。只要用户持有有效的JWT完成身份验证，按照当前API逻辑，就能调用检索全部用户的接口，直接获取所有用户的姓名、邮箱、手机号等完整PII数据。

3. 是否应尽可能隐藏用户信息？ #

必须要。用户的姓名、邮箱、手机号属于敏感隐私数据，和商品这类公开/半公开资源完全不是一个性质：商品信息是面向用户开放的业务资源，而用户隐私数据是需要严格保护的个人信息，哪怕其他资源权限逻辑宽松，用户信息也必须单独做严格的权限管控，不能一概而论。

4. 如何在允许检索用户信息的同时保护用户数据？ #

可以从以下几个维度优化：

• 细粒度角色权限划分：区分普通用户、管理员、客服等角色，比如只有管理员/有权限的内部人员才能访问全量用户信息；普通用户仅能查看自己的个人信息，或经过对方授权的特定用户信息（如好友、团队成员）。
• 数据脱敏处理：即使是有权限访问的场景，返回的敏感数据也要做脱敏处理，比如手机号显示138****1234，邮箱显示xxx@xxx.com（隐藏前缀部分），仅在必要业务场景（如内部客服处理工单）才返回完整数据。
• 上下文校验控制：在接口层面增加上下文判断，比如普通用户调用获取单个用户接口时，只能查询自己的ID，或自己关联的用户ID，禁止查询无关用户信息。
• 操作审计日志：记录所有访问用户隐私数据的操作日志，包括访问者ID、访问时间、访问的数据内容、接口路径等，便于后续追溯和合规审计。
• 最小数据返回策略：根据访问者的角色和业务场景，仅返回必要的数据字段。比如普通用户查看其他用户资料时，只返回昵称、头像这类非敏感信息，不返回手机号、邮箱；管理员根据业务需求，可申请获取完整字段。

内容的提问来源于stack exchange，提问作者TharinduGunasekera