権限のないユーザーへの機密情報の公開

@RestController
public class UserController {

    @GetMapping("/user")
    public String getUserInfo(@RequestParam String userId) {
        // ユーザー別のアクセス確認がない
        return "Displaying user info: " + getUserDetails(userId);
    }

    private String getUserDetails(String userId) {
        // ユーザー情報の検索を代用
        return "User Details";  // 簡略化したサンプルデータ
    }
}

@RestController
public class UserController {

    @GetMapping("/user")
    public ResponseEntity<String> getUserInfo(@RequestParam String userId, Principal principal) {
        // 認証主体と要求されたユーザーの一致を確認
        if (principal == null || !principal.getName().equals(userId)) {
            return new ResponseEntity<>("Access Denied", HttpStatus.FORBIDDEN);
        }
        return new ResponseEntity<>("Displaying user info: " + getUserDetails(userId), HttpStatus.OK);
    }

    private String getUserDetails(String userId) {
        // ユーザー情報の検索を代用
        return "User Details";  // 簡略化したサンプルデータ
    }
}