他们未登录或不属于正确的用户组

你陈述了两种不同的情况；每种情况都应有不同的反应：

如果他们根本没有登录，您应该返回401未授权如果他们已登录但不属于正确的用户组，则应返回403禁止

根据收到的对此答案的评论，请注意RFC：

如果用户未登录，他们将被取消身份验证，其HTTP等效值为401，在RFC中被错误地称为“未授权”。如第10.4.2节所述，401未经授权：

“请求需要用户身份验证。”

如果您未经认证，401是正确的响应。然而，如果您未经授权，在语义正确的意义上，403是正确的响应。

在401对403的情况下，这已经得到了多次回答。这本质上是一场“HTTP请求环境”辩论，而不是“应用程序”辩论。

您自己的登录问题（应用程序）似乎有问题。

在这种情况下，仅仅不登录不足以发送401或403，除非您使用HTTP Auth与登录页面（与设置HTTP Auth无关）。听起来您可能正在寻找一个“201已创建”，其中有一个滚动您自己的登录屏幕（而不是请求的资源），用于应用程序级访问文件。上面写着：

“我听到了，它在这里，但试试这个（不允许你看到）”

这个问题是前一段时间提出来的，但人们的想法还在继续。

本草案的第6.5.3节（由Fielding和Reschke编写）赋予状态代码403与RFC 2616中所记录的状态代码略有不同的含义。

它反映了许多流行的web服务器和框架使用的身份验证和授权方案中发生的情况。

我强调了我认为最突出的一点。

6.5.3.403禁止403（禁止）状态代码表示服务器理解请求但拒绝授权。希望公开请求被禁止的原因的服务器可以在响应有效负载（如果有的话）中描述该原因。如果请求中提供了身份验证凭据，则服务器认为这些凭据不足以授予访问权限。客户端不应使用相同的凭据重复请求。客户端可以使用新的或不同的凭据重复请求。但是，由于与凭据无关的原因，请求可能被禁止。希望“隐藏”当前存在的禁用目标资源的源服务器可能会以状态代码404（未找到）进行响应。

无论您使用什么约定，重要的是在站点/API中提供一致性。

英语：

401

您可能被允许访问，但出于某种原因否认。例如密码错误？请使用正确的请求重试你会得到成功的回应。

403

你永远不被允许。你的名字不在名单上，你不会一旦进入，离开，不要发送重试请求，它将被拒绝，总是走开。

根据RFC 2616（HTTP/1.1）403在以下情况下发送：

服务器理解该请求，但拒绝履行该请求。授权没有帮助，不应重复该请求。如果请求方法不是HEAD，并且服务器希望公开请求未完成的原因，则应在实体中描述拒绝的原因。如果服务器不希望向客户端提供此信息，则可以使用状态代码404（未找到）

换句话说，如果客户端可以通过认证访问资源，则应发送401。

编辑：RFC2616已过时，请参阅RFC9110。

401未授权：

如果请求已经包括授权凭证，则401响应指示已拒绝对这些凭证的授权。

403禁止：

服务器理解该请求，但拒绝履行该请求。

从您的用例来看，用户似乎没有经过身份验证。我会返回401。