我对它的看法与公认的答案略有不同。

当认证失败时返回403，当授权失败时返回401，这似乎更符合语义和逻辑。

我的理由如下：

当您请求认证时，您有权提出该请求。你需要这样做，否则一开始就没有人能够通过认证。

如果您的身份验证失败，您将被禁止，这是有意义的。

另一方面，被禁止者也可以申请授权，但假设您已通过身份验证，但无权访问特定端点。返回401 Unauthorized似乎更有意义。

对于失败的身份验证尝试，Spring Boot的安全性返回403

考虑到最新的RFC（7231和7235），用例似乎非常清楚（添加了斜体）：

401表示未经认证（“缺少有效认证”）；即“我不知道你是谁，或者我不相信你是你说的那样。”

401未授权

401（未授权）状态代码表示请求没有已应用，因为它缺少有效的身份验证凭据目标资源。生成401响应的服务器必须发送WWW Authenticate头字段（第4.1节），至少包含一个适用于目标资源的挑战。

如果请求包括认证证书，则401响应表明授权已被拒绝资格证书用户代理可以使用新的或替换了Authorization头字段（第4.2节）。如果401响应包含与先前响应相同的挑战用户代理已经至少尝试了一次身份验证，然后用户代理应向因为它通常包含相关的诊断信息。

403表示未经授权（“拒绝授权”）；即“我知道你是谁，但你无权访问此资源。”

403禁止

403（禁止）状态代码表示服务器已理解请求，但拒绝授权公开为什么该请求被禁止可以描述这一点响应有效载荷中的原因（如果有的话）。

如果请求中提供了身份验证凭据服务器认为它们不足以授予访问权限。客户不应自动重复相同的请求资格证书客户可以用新的或不同的重复请求资格证书然而，出于某些原因，请求可能被禁止与证书无关。

希望“隐藏”当前存在的禁用的目标资源可能会以状态代码响应404（未找到）。

401未经授权：我不知道你是谁。这是一个身份验证错误。403禁止：我知道你是谁，但你没有访问此资源的权限。这是一个授权错误。

英语：

401

您可能被允许访问，但出于某种原因否认。例如密码错误？请使用正确的请求重试你会得到成功的回应。

403

你永远不被允许。你的名字不在名单上，你不会一旦进入，离开，不要发送重试请求，它将被拒绝，总是走开。

401响应是指以下之一：

缺少访问令牌。访问令牌已过期、吊销、格式错误或无效。

403响应另一方面意味着访问令牌确实有效，但用户没有执行所请求的操作的适当权限。

他们未登录或不属于正确的用户组

你陈述了两种不同的情况；每种情况都应有不同的反应：

如果他们根本没有登录，您应该返回401未授权如果他们已登录但不属于正确的用户组，则应返回403禁止

根据收到的对此答案的评论，请注意RFC：

如果用户未登录，他们将被取消身份验证，其HTTP等效值为401，在RFC中被错误地称为“未授权”。如第10.4.2节所述，401未经授权：

“请求需要用户身份验证。”

如果您未经认证，401是正确的响应。然而，如果您未经授权，在语义正确的意义上，403是正确的响应。