在REST API中实现授权的最佳方法'；s

在JERSEY框架上开发的RESTAPI中实现授权的最佳方法。例如，下面是我的API端点URI，我想授权，以便只有个人可以访问API

/api/swimpool/v1/swimpool/12

我读的关于保护REST服务的文章很少，但它们在tomcat环境中的tomcat-users.xml中处理身份验证和静态配置，在应用程序的web.xml中很少进行配置

基于令牌的身份验证是我遇到的一种授权方法。是否有其他方法或最佳实践来保护web服务

更新

facebook应用程序如何保护这些资源，例如API将列出/显示给定相册中的照片。但facebook如何确保（授权）不访问他人相册的端点

例如，用户A可以查看相册中的照片，但不能查看其他用户B中的照片。用户A可能会尝试猜测正在进行的API调用（因为API对所有用户都是相同的），以获取照片并修改路径参数，并尝试获取详细信息

---

谢谢

我建议您阅读本主题，我已经尝试过了这个主题，通过使用角色，我看到了一个要点，但是角色信息变得静态。我将更新这个问题，并提供更多细节。您在泽西岛有不同的安全实现方式。您可以创建自己的注释来保护资源，您可以使用OAuth+/或JSON Web令牌。关于照片，您必须在业务逻辑中实现用户可以看到的数据。