我已经开始为我的rest控制器实现Spring Security 。背景安全性设计是带有Spring Security 的JWT令牌。
我一直致力于实现WebSecurityConfigurerAdapter。

@Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
 httpSecurity
         .sessionManagement()
             .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
             .and()
         .authorizeRequests()            
             .antMatchers("/managers/**").hasRole("MANAGER_USER)
             .anyRequest().authenticated()
             .and().cors();
httpSecurity.addFilterBefore(authenticationJwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);
    }

我的问题是关于的基本认识：当从Angular调用rest控制器端点时，我有rest调用，其中包括管理器ID，当进行调用时，服务器返回管理器的用户列表。
安全工作正常，只有具有MANAGER_USER角色的用户才能访问该方法，否则返回403。理论上，Angular可以发送具有不同管理器ID的请求，并检索不属于他的用户。在postman中，您可以轻松更改ID并检索不同的结果，但是否存在有人攻击Angular应用程序以发送不同ID的风险？如果是，找不到解决办法吗？
例如，一些URL在URL中包含ID，因此用户实际上可以更改URL中的ID。