我认为重要的是要考虑到，对于浏览器，401会启动一个验证对话框，让用户输入新的凭据，而403不会。浏览器认为，如果返回401，那么用户应该重新验证。因此401代表无效认证，而403代表缺乏许可。

以下是在这种逻辑下的一些情况，在这些情况下，验证或授权会返回错误，重要短语用粗体表示。

资源需要身份验证，但未指定凭据。

401:客户端应指定凭据。

指定的凭据格式无效。

400:这既不是401也不是403，因为语法错误应该总是返回400。

指定的凭据引用的用户不存在。

401:客户端应指定有效凭据。

指定的凭据无效，但请指定有效的用户（如果不需要指定的用户，请不要指定用户）。

401：同样，客户端应该指定有效的凭据。

指定的凭据已过期。

401:这实际上与通常的无效凭据相同，因此客户端应该指定有效凭据。

指定的凭据完全有效，但不足以满足特定资源的需要，尽管具有更多权限的凭据也可能。

403:指定有效凭据不会授予对资源的访问权限，因为当前凭据已经有效，但只有不具有权限。

无论凭据如何，都无法访问特定资源。

403:这与凭据无关，因此指定有效凭据没有帮助。

指定的凭据完全有效，但特定客户端被阻止使用它们。

403：如果客户端被阻止，指定新凭据将不会有任何作用。

  +-----------------------
  | RESOURCE EXISTS ? (if private it is often checked AFTER auth check)
  +-----------------------
    |       |
 NO |       v YES
    v      +-----------------------
   404     | IS LOGGED-IN ? (authenticated, aka user session)
   or      +-----------------------
   401        |              |
   403     NO |              | YES
   3xx        v              v
              401            +-----------------------
       (404 no reveal)       | CAN ACCESS RESOURCE ? (permission, authorized, ...)
              or             +-----------------------
             redirect          |            |
             to login       NO |            | YES
                               |            |
                               v            v
                               403          OK 200, redirect, ...
                      (or 404: no reveal)
                      (or 404: resource does not exist if private)
                      (or 3xx: redirection)

检查通常按以下顺序进行：

404如果资源是公共的且不存在或3xx重定向否则：401如果未登录或会话已过期403如果用户没有访问资源的权限（文件、json…）404如果资源不存在或不愿意透露任何信息，或3xx重定向

未授权：状态代码（401）指示请求需要身份验证，通常这意味着用户需要登录（会话）。服务器未知的用户/代理。可以使用其他凭据重复。注意：这令人困惑，因为它应该被命名为“未经验证”而不是“未经授权”。如果会话过期，登录后也可能发生这种情况。特殊情况：可以代替404使用，以避免显示资源的存在或不存在（credits@jiangCodeNinja）

禁止：状态代码（403），表示服务器理解请求但拒绝执行。服务器知道用户/代理，但没有足够的凭据。除非凭据更改，否则重复请求将不起作用，这在短时间内是非常不可能的。特殊情况：可以使用404代替404，以避免在显示资源的存在暴露敏感数据或向攻击者提供有用信息的情况下显示资源（credits@jiangCodeNinja）的存在或不存在。

未找到：状态代码（404），指示请求的资源不可用。用户/代理已知，但服务器不会透露任何有关资源的信息，就像它不存在一样。重复不起作用。这是404的一个特殊用法（例如github）。

如@ChrisH所述，有几个3xx重定向选项（301、302、303、307或根本不重定向，使用401）：

HTTP重定向代码之间的差异浏览器缓存HTTP 301多长时间？重定向到登录页面时，正确的HTTP状态代码是什么？302和307重定向之间有什么区别？

!!! DEPR：答案反映了直到2014年以前的普遍做法！！！

TL；博士

401:与身份验证有关的拒绝403：拒绝与身份验证无关

实际示例

如果apache需要身份验证（通过.htaccess），并且您单击“取消”，则它将响应401“所需授权”

如果nginx找到了一个文件，但没有读取/访问该文件的访问权限（用户/组），那么它将响应403 Forbidden

RFC（2616第10节）

401未授权（10.4.2）

含义1：需要认证

请求需要用户身份验证。。。

含义2：身份验证不足

…如果请求已经包括授权凭证，则401响应指示已拒绝对这些凭证的授权。。。

403禁止（10.4.4）

含义：与身份验证无关

…授权没有帮助。。。

更多详情：

服务器理解该请求，但拒绝履行该请求。

应说明实体拒绝的原因

可以改用状态代码404（未找到）

（如果服务器希望将此信息保留给客户端）

这个问题是前一段时间提出来的，但人们的想法还在继续。

本草案的第6.5.3节（由Fielding和Reschke编写）赋予状态代码403与RFC 2616中所记录的状态代码略有不同的含义。

它反映了许多流行的web服务器和框架使用的身份验证和授权方案中发生的情况。

我强调了我认为最突出的一点。

6.5.3.403禁止403（禁止）状态代码表示服务器理解请求但拒绝授权。希望公开请求被禁止的原因的服务器可以在响应有效负载（如果有的话）中描述该原因。如果请求中提供了身份验证凭据，则服务器认为这些凭据不足以授予访问权限。客户端不应使用相同的凭据重复请求。客户端可以使用新的或不同的凭据重复请求。但是，由于与凭据无关的原因，请求可能被禁止。希望“隐藏”当前存在的禁用目标资源的源服务器可能会以状态代码404（未找到）进行响应。

无论您使用什么约定，重要的是在站点/API中提供一致性。

丹尼尔·欧文（Daniel Irvine）的明确解释[原始链接]：

401 Unauthorized（401未授权）存在问题，这是身份验证错误的HTTP状态代码。这就是它：它用于身份验证，而不是授权。收到401响应时，服务器会告诉你，“你不是已验证–完全未验证或已验证不正确–但请重新验证并重试。”为了帮助您，它将始终包含一个WWW Authenticate标头，描述如何以进行身份验证。这是通常由web服务器而不是web返回的响应应用这也是非常暂时的；服务器要求您尝试再一次因此，为了获得授权，我使用403 Forbidden响应。它是永久性的，它与我的应用程序逻辑有关，而且更具体响应大于401。收到403响应时，服务器会告诉你：“对不起，我知道你是谁——我相信你说的你是谁，但你只是没有访问此资源的权限。也许如果你问系统管理员很好，你会得到许可的。但请不要打扰直到你的困境改变。”总之，401未经授权的响应应用于缺失或认证错误，应使用403禁止响应之后，当用户经过身份验证但未被授权对给定资源执行请求的操作。

另一种很好的图片格式，说明如何使用http状态代码。

编辑：RFC2616已过时，请参阅RFC9110。

401未授权：

如果请求已经包括授权凭证，则401响应指示已拒绝对这些凭证的授权。

403禁止：

服务器理解该请求，但拒绝履行该请求。

从您的用例来看，用户似乎没有经过身份验证。我会返回401。