检查用户是否对每个请求都有项目权限是正确的解决方案。考虑许多其他应用程序/用户正在调用API时的情况。您希望确保您的api尽可能安全，并且不能从前端进行操作。
为了提高效率，您应该有一种方法/查询来检查数据库中的关联，就像一个返回true/false的简单查询，它应该比检索所有数据和在java代码中进行比较更快。
在可能的情况下，将多个数据库查询合并为一个查询，如您的一个示例所示： GET /api/v1/projects/{projectId} 在这种情况下，不要运行查询来获取用户信息和请求项目的查询。相反，您可以使用用户表和项目表之间的联接执行单个查询，该联接只应在用户与项目关联时返回项目。最好的方法实际上取决于数据库的结构。
将用户id添加到api url中只是冗余信息。令牌中的用户id与url中的用户id匹配并不意味着用户对任何项目都有任何类型的权限。
另一个需要避免的解决方案是将用户的项目ID包含在jwt令牌中，然后无需进行数据库请求即可进行比较。这是不好的，原因有几个：
令牌应该只有用户访问api所需的信息，而不应该有业务逻辑
根据您在令牌中存储了多少业务逻辑，令牌的大小可能会变大。有关大小限制的讨论，请参阅本文：jwt令牌的最大大小是多少？
如果用户以外的其他人（如管理员）可以通过某种方式添加/删除用户与项目的关联，则在刷新令牌的数据之前，该更改不会反映在令牌中
编辑：
在Spring方面，我使用了 @PreAuthorize 注解来处理这些类型的方法检查。下面以伪代码为例。

@RestController
public class MyController {

    @PostMapping
    @PreAuthorize("@mySecurityService.isAllowed(principal, #in)")
    public SomeResponseType api1(SomeRequestType requestData) {
        /* this is not reached unless mySecurityService.isAllowed
        returns true, instead a user gets a 401/403 HTTP response 
        code (i don't remember the exact one) */
    }
}

@Service
public class MySecurityService {

    /*
    Object principal - this is spring's UserDetails object that is
    returned from the AuthenticationProvider. So basically a Java
    representation of the  JWT token which should have the 
    user's username.

    SomeRequestType requestData - this is the request data that was 
    sent to the API. I'm sure there is a way to get the project ID 
    from the URL here as well.
    */
    public boolean isAllowed(Object principal, SomeRequestType requestData) {
        /*
        take the user's username from the principal, take the 
        project ID from the request data and query the database 
        to check authorization, return true if authorized

        make this check efficient
        */

        return false;
    }
}

然后可以将注解和安全服务应用于多个方法。根据您要检查的内容，您可以有许多不同的安全服务。
还有其他可用的方法https://www.baeldung.com/spring-security-method-security 这必须在spring的配置中启用（也在链接中解释）。

您好，如果我理解正确，您希望自动将使用“post/api/v1/projects/{projectd}/tasks”创建的任务分配给当前登录的用户。
您可以尝试向rest控制器添加参数“principal”。主体是发送请求的用户。
获得prinicipal后，可以编写一个简单的convert方法（例如：convertprincipaltouser（principal principal））返回用户。最后，您可以将用户添加到相应的任务中）
以下是关于它的更多信息：https://www.baeldung.com/get-user-in-spring-security