Rest 授权：用户权限与服务权限

我有一个REST API，它使用JWT对两种类型的客户端进行身份验证： -通过web应用程序的用户 -服务

每个客户端都有自己的权限（例如，可以使用API访问资源1，但不能访问资源2）

现在一个服务可以有一个UI，我所面临的问题是，当一个服务通过服务UI从用户服务发送请求时，我不知道API应该考虑哪些权利：服务权限？用户权限？两者的交叉点

例如，假设API通过“GET/products”提供了一个产品列表，该列表可能受到客户权限的限制： -用户U可以列出产品1、产品2。 -服务S可以列出产品2、产品3。

---

从服务的UI中应该为用户U列出哪些产品？

如果我理解您的要求，您应该考虑用户和服务的交叉点。没有“服务权”或“用户权”，就没有“服务权”或“用户权”。相反，有规则规定哪些用户可以访问哪些服务

---

通常，在服务器上处理任何REST调用时，首先确定用户并验证用户是否可以访问此服务，然后在验证后执行实际服务。

感谢您的帮助，实际上我正在考虑用户何时可以访问此服务，但他们对资源的访问方式不同。我添加了一个例子，让它更清楚！