我对它的看法与公认的答案略有不同。

当认证失败时返回403，当授权失败时返回401，这似乎更符合语义和逻辑。

我的理由如下：

当您请求认证时，您有权提出该请求。你需要这样做，否则一开始就没有人能够通过认证。

如果您的身份验证失败，您将被禁止，这是有意义的。

另一方面，被禁止者也可以申请授权，但假设您已通过身份验证，但无权访问特定端点。返回401 Unauthorized似乎更有意义。

对于失败的身份验证尝试，Spring Boot的安全性返回403

在401对403的情况下，这已经得到了多次回答。这本质上是一场“HTTP请求环境”辩论，而不是“应用程序”辩论。

您自己的登录问题（应用程序）似乎有问题。

在这种情况下，仅仅不登录不足以发送401或403，除非您使用HTTP Auth与登录页面（与设置HTTP Auth无关）。听起来您可能正在寻找一个“201已创建”，其中有一个滚动您自己的登录屏幕（而不是请求的资源），用于应用程序级访问文件。上面写着：

“我听到了，它在这里，但试试这个（不允许你看到）”

这是一个更老的问题，但一个从未真正提出过的选项是返回404。从安全角度来看，投票最高的答案存在潜在的信息泄漏漏洞。例如，假设所讨论的安全网页是一个系统管理页面，或者更常见的是，是一个用户无权访问的系统记录。理想情况下，您不希望恶意用户知道那里有一个页面/记录，更不用说他们无权访问。当我构建这样的东西时，我将尝试在内部日志中记录未经验证/未经授权的请求，但返回404。

OWASP提供了有关攻击者如何将此类信息用作攻击一部分的更多信息。

我已经为您创建了一个简单的注释，它将使您明白。

401响应是指以下之一：

缺少访问令牌。访问令牌已过期、吊销、格式错误或无效。

403响应另一方面意味着访问令牌确实有效，但用户没有执行所请求的操作的适当权限。

这个问题是前一段时间提出来的，但人们的想法还在继续。

本草案的第6.5.3节（由Fielding和Reschke编写）赋予状态代码403与RFC 2616中所记录的状态代码略有不同的含义。

它反映了许多流行的web服务器和框架使用的身份验证和授权方案中发生的情况。

我强调了我认为最突出的一点。

6.5.3.403禁止403（禁止）状态代码表示服务器理解请求但拒绝授权。希望公开请求被禁止的原因的服务器可以在响应有效负载（如果有的话）中描述该原因。如果请求中提供了身份验证凭据，则服务器认为这些凭据不足以授予访问权限。客户端不应使用相同的凭据重复请求。客户端可以使用新的或不同的凭据重复请求。但是，由于与凭据无关的原因，请求可能被禁止。希望“隐藏”当前存在的禁用目标资源的源服务器可能会以状态代码404（未找到）进行响应。

无论您使用什么约定，重要的是在站点/API中提供一致性。