Spring Boot REST API产品接口的两种权限路径方案选型

直接给出结论：方案一是符合RESTful设计原则的合理选择，具体分析如下：

1. 资源路径应聚焦资源本身，而非访问角色 #

REST的核心是「资源导向」，/api/v1/products代表的是「产品集合」这个核心资源，所有对该资源的操作（查询、新增、更新、删除）都应该围绕这个路径展开，用HTTP方法区分操作类型：

• GET /api/v1/products/GET /api/v1/products/{id}：查询产品列表/单个产品
• POST /api/v1/products：新增产品
• PATCH /api/v1/products/{id}：更新产品
• DELETE /api/v1/products/{id}：删除产品

角色权限属于访问控制层面的逻辑，不应该污染资源路径。把admin加到路径里，相当于用路径描述「谁能访问」，而非「访问什么资源」，违背了REST的设计初衷。

2. 权限控制与路由逻辑解耦，维护成本更低 #

权限校验应该交给专门的安全组件（比如Spring Security）处理，和路由规则完全分离。举个Spring Boot里的实现示例：

用Spring Security配置全局权限规则 #

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 普通用户和管理员都可访问产品查询接口
                .requestMatchers(HttpMethod.GET, "/api/v1/products/**").hasAnyRole("USER", "ADMIN")
                // 新增/更新/删除接口仅管理员可访问
                .requestMatchers("/api/v1/products/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            )
            .httpBasic(Customizer.withDefaults());
        return http.build();
    }
}

或在控制器方法上直接添加权限注解 #

@RestController
@RequestMapping("/api/v1/products")
public class ProductController {

    @GetMapping("/{id}")
    public ResponseEntity<Product> getProduct(@PathVariable Long id) {
        // 普通用户、管理员均可调用
    }

    @PostMapping
    @PreAuthorize("hasRole('ADMIN')")
    public ResponseEntity<Product> addProduct(@RequestBody Product product) {
        // 仅管理员可调用
    }

    // update、delete方法同理添加@PreAuthorize注解
}

这种方式下，路由路径干净统一，权限逻辑集中管理，后续调整权限规则（比如新增角色）时，无需修改接口路径，仅需调整安全配置即可。

方案二的明显问题 #

将管理员操作放到/api/v1/products/admin路径下，会带来两个核心问题：

• 冗余：/api/v1/products/admin下的GET请求和/api/v1/products的GET请求本质是查询同一个资源，重复定义接口会增加代码维护成本；
• 语义混乱：路径后缀/admin会误导其他开发者，以为这是「管理员专属资源」，而非「产品资源的管理员操作」，不符合REST的通用约定。

内容的提问来源于stack exchange，提问作者Fen