对于存在但用户没有足够权限(他们未登录或不属于正确的用户组)的网页,要提供的正确HTTP响应是什么?
401未授权?403禁止?还有别的吗?
到目前为止,我读到的每一篇文章都不太清楚两者之间的区别。每个响应都适合哪些用例?
对于存在但用户没有足够权限(他们未登录或不属于正确的用户组)的网页,要提供的正确HTTP响应是什么?
401未授权?403禁止?还有别的吗?
到目前为止,我读到的每一篇文章都不太清楚两者之间的区别。每个响应都适合哪些用例?
当前回答
我认为重要的是要考虑到,对于浏览器,401会启动一个验证对话框,让用户输入新的凭据,而403不会。浏览器认为,如果返回401,那么用户应该重新验证。因此401代表无效认证,而403代表缺乏许可。
以下是在这种逻辑下的一些情况,在这些情况下,验证或授权会返回错误,重要短语用粗体表示。
资源需要身份验证,但未指定凭据。
401:客户端应指定凭据。
指定的凭据格式无效。
400:这既不是401也不是403,因为语法错误应该总是返回400。
指定的凭据引用的用户不存在。
401:客户端应指定有效凭据。
指定的凭据无效,但请指定有效的用户(如果不需要指定的用户,请不要指定用户)。
401:同样,客户端应该指定有效的凭据。
指定的凭据已过期。
401:这实际上与通常的无效凭据相同,因此客户端应该指定有效凭据。
指定的凭据完全有效,但不足以满足特定资源的需要,尽管具有更多权限的凭据也可能。
403:指定有效凭据不会授予对资源的访问权限,因为当前凭据已经有效,但只有不具有权限。
无论凭据如何,都无法访问特定资源。
403:这与凭据无关,因此指定有效凭据没有帮助。
指定的凭据完全有效,但特定客户端被阻止使用它们。
403:如果客户端被阻止,指定新凭据将不会有任何作用。
其他回答
他们未登录或不属于正确的用户组
你陈述了两种不同的情况;每种情况都应有不同的反应:
如果他们根本没有登录,您应该返回401未授权如果他们已登录但不属于正确的用户组,则应返回403禁止
根据收到的对此答案的评论,请注意RFC:
如果用户未登录,他们将被取消身份验证,其HTTP等效值为401,在RFC中被错误地称为“未授权”。如第10.4.2节所述,401未经授权:
“请求需要用户身份验证。”
如果您未经认证,401是正确的响应。然而,如果您未经授权,在语义正确的意义上,403是正确的响应。
这个问题是前一段时间提出来的,但人们的想法还在继续。
本草案的第6.5.3节(由Fielding和Reschke编写)赋予状态代码403与RFC 2616中所记录的状态代码略有不同的含义。
它反映了许多流行的web服务器和框架使用的身份验证和授权方案中发生的情况。
我强调了我认为最突出的一点。
6.5.3.403禁止403(禁止)状态代码表示服务器理解请求但拒绝授权。希望公开请求被禁止的原因的服务器可以在响应有效负载(如果有的话)中描述该原因。如果请求中提供了身份验证凭据,则服务器认为这些凭据不足以授予访问权限。客户端不应使用相同的凭据重复请求。客户端可以使用新的或不同的凭据重复请求。但是,由于与凭据无关的原因,请求可能被禁止。希望“隐藏”当前存在的禁用目标资源的源服务器可能会以状态代码404(未找到)进行响应。
无论您使用什么约定,重要的是在站点/API中提供一致性。
你又是谁??(程序员走进一个没有ID或ID无效的酒吧)
403:太好了,又是你。我盯着你了。走吧,离开这里。(程序员走进一家86岁的酒吧)
401:您需要HTTP基本身份验证才能看到这一点。
如果用户只需要使用您站点的标准HTML登录表单登录,401将不合适,因为它特定于HTTP基本身份验证。
403:此资源存在,但您无权查看它,HTTP基本身份验证也无济于事。
我不建议使用403来拒绝访问/包含之类的内容,因为就web而言,这些资源根本不存在,因此应该使用404。
换句话说,403表示“此资源需要HTTP基本身份验证以外的某种身份验证(例如使用网站的标准HTML登录表单)”。
https://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html#sec10.4.2
其含义如下:
401:用户未(正确)验证,资源/页面需要验证
403:用户的角色或权限不允许访问请求的资源,例如,用户不是管理员,请求的页面是管理员的。
注意:从技术上讲,403是401的超集,因为给未经认证的用户403也是合法的。无论如何,区分更有意义。