REST端点资源授权：需验证完整路径还是仅目标资源？

这是个非常实际的REST权限设计问题，答案其实没有绝对的对错，完全取决于你的系统安全需求和业务逻辑。我来分享几个常见的思路和权衡点，帮你做判断：

1. 只验证终端资源（推荐多数场景） #

如果你的权限模型是基于资源实例本身的（比如用户明确拥有帖子#5的访问权限），而且资源记录里已经包含了足够的归属关联（比如帖子表存了employee_id=209和company_id=12），那完全可以只验证终端资源的权限。

• 好处：逻辑简单直接，避免多层校验带来的复杂度和性能损耗，不用每次请求都去查“员工209是否属于公司12”“帖子5是否属于员工209”这些关联关系。
• 注意点：要在数据层面保证资源归属的一致性。比如创建帖子时，强制关联当前员工所属的公司，防止出现“帖子5属于员工209，但员工209不属于公司12”这种数据矛盾——这种情况属于数据错误，应该在业务逻辑层提前规避，而不是在授权时做校验。

举个例子：如果你的系统允许用户直接通过/posts/5访问帖子，也允许通过层级路径/companies/12/employees/209/posts/5访问，那只要用户有帖子5的权限，两种路径都应该放行。这时候路径里的层级更多是用来做资源分类或路由，而非权限校验的依据。

2. 验证完整路径层级（适合分层权限场景） #

如果你的权限模型是分层递进的——比如用户必须先拥有公司12的访问权限，才能访问该公司下的员工，进而才能访问员工的帖子——那这时候就需要验证完整路径的每一层权限和归属。

• 好处：严格符合业务的层级访问逻辑，能防止“越权跳转”。比如用户可能知道帖子5的ID，但如果他没有公司12的访问权限，就算有帖子5的权限，也不能通过/companies/12/employees/209/posts/5这个路径访问（当然，这时候你可能要限制用户不能直接访问/posts/5）。
• 坏处：逻辑复杂度会迅速上升，每次请求都要依次校验：公司12是否存在？员工209是否属于公司12？帖子5是否属于员工209？用户是否拥有每一层的权限？如果路径层级再增加（比如加个部门），校验逻辑会更繁琐，还可能影响接口性能。

3. 折中方案：校验路径归属，不校验每一层权限 #

如果既想保证路径的合理性（防止用户随便构造错误层级的URL），又不想增加太多权限校验的负担，可以只校验路径里的层级和资源实际归属一致，但不需要验证用户拥有每一层的权限。

比如请求/companies/12/employees/209/posts/5时，只需要确认：帖子5确实属于员工209，员工209确实属于公司12，但不需要验证用户有公司12或员工209的权限——只要用户有帖子5的权限就放行。

这种方案既避免了用户构造错误路径（比如把帖子5挂到公司13下），又不会让权限逻辑变得过于复杂。

总结 #

• 若资源权限独立于层级：只验证终端资源即可，简单高效。
• 若业务要求分层权限：必须验证完整路径的每一层权限和归属。
• 若想兼顾路径合理性和逻辑简洁性：选择折中方案，校验归属不校验每一层权限。

内容的提问来源于stack exchange，提问作者weagle08