授权标头中不属于用户的令牌的HTTP状态代码

Question

您可以推荐一个用户尝试使用另一个用户令牌时适合返回的HTTP状态代码吗？ 401或400 ？

Answer 1

HTTP 403 禁止 服务器理解了请求，但拒绝授权。 更适合您的情况。

Answer 2

403是最合适的响应代码。 这是RFC 7231的完整描述。

403（禁止）状态码表示服务器理解了请求，但拒绝授权。 希望公开为什么禁止请求的服务器可以在响应有效负载（如果有）中描述该原因。

如果请求中提供了身份验证凭据，则服务器认为它们不足以授予访问权限。 客户端不应该自动使用相同的凭据重复请求。 客户端可以用新的或不同的证书重复请求。 但是，出于与凭据无关的原因，可能会禁止请求。

希望“隐藏”当前存在的禁止目标资源的原始服务器可以使用状态代码404（未找到）进行响应。

第二段适用于您的方案。 客户端/用户提供了其他人的凭据，服务器认为它们“不足”。