GET上的安全性与查询参数

Question

我陷入两难境地。如果用户没有权利使用某个查询参数，那么您为GET REST请求返回什么。

例如：GET /transactions?user=admin

如果不是管理员的用户尝试以下示例，那么应该是正确的响应403还是空列表？

他有权搜索任何其他用户，但不能搜索用户管理员。