权限管理这块怎么限制传参？

[justthewayyouare]

比如两个角色，一个管理员，一个用户。 他们都有/userinfo?id=xxx 这个接口的权限， 管理员可以查询任何人，所以对 xxx 没有限制，用户只能查询他的同级，xxx 的范围是他的同级，如何防止用户知道管理员 id 后查管理员的信息？

[cslive]

从 session 或者 token 获取用户信息，前端默认不可信

[xiaoHuaJia]

@cslive 别人的是什么意思?别的平台的 Id ？没理解