哪种授权方法会更好，为什么呢？

Question

我有许多Maven模块相互共享单个Spring上下文的应用程序。应用程序中的所有模块都是有状态的，因此都知道会话。对于模块授权层之一，最近已添加。 该层的想法是针对以下情况进行两个验证安全性：

1. 客户端访问所有资源，例如：getResources(emptyList());
2. 客户端访问特定资源，例如：getResources(Array.asList("resource1", "resource2"));

对于这些情况，有两种解决方法：

• 当客户端至少不能访问列表中的单个资源时，返回403状态代码；
• 过滤客户端可以访问的资源，并另外提供禁止的资源名称列表；

当额外提供了禁止的资源名称并过滤了资源列表时，我们决定选择第二个选项。您能否建议第二个选项可能会遇到什么问题，或者建议其他更好的选项。