[Web API][REST] ログイングループ指定の設計方針について

Question

ログインユーザーが複数のグループに所属するタイプのWebサービスを設計しています。
ログイン後はTokenをHTTPヘッダに入れてアクセスさせますが、グループ情報をどのようにして受け渡すのがベストなのかを悩んでおります。

https://api.hoge.com/v1/user

WebAPIは上記のようなエンドポイントでJSONデータを返却します。

この時、例えば「google」「yahoo」という2つのグループIDに所属しているユーザーがいたと仮定して、このグループIDはどのように渡すべきでしょうか？

① クエリパラメータ
https://api.hoge.com/v1/user?group=google

② サブドメイン
https://google.hoge.com/api/v1/user

③ URIに含める
https://api.hoge.com/v1/google/user

④ HTTPリクエストヘッダ
オリジナル？？

⑤ トークン？？

ベストな方法があれば教えて頂けると幸いです。

Answer 1

URL文字列は常に独り歩きするもの（リンク文字列として人から人へ伝達されやすいもの）ですから、情報保護の観点から、URLに属人情報（ユーザーID、グループID等）を含めるべきではないと思います。また、グループ文字列をユーザーが書き換えてしまうケースも想定しなければなりません。

また別の観点になりますが、サービスURLにユーザーIDやグループIDなどの属人情報が入っていると、サービスURLをユーザー同士で共有することができなくなるデメリットもあります。

ユーザー認証が前提のシステムでしたら、認証成功時にセッションデータとしてCOOKIEやトークン文字列等に含めて管理するのが良いと思います。

Comments

[sasaki_nuno]

ありがとうございます！参考になりました。