授權標頭中不屬於用戶的令牌的HTTP狀態代碼

Question

您可以推薦一個用戶嘗試使用另一個用戶令牌時適合返回的HTTP狀態代碼嗎？ 401或400 ？

Answer 1

HTTP 403 禁止 服務器理解了請求，但拒絕授權。 更適合您的情況。

Answer 2

403是最合適的響應代碼。 這是RFC 7231的完整描述。

403（禁止）狀態碼表示服務器理解了請求，但拒絕授權。 希望公開為什么禁止請求的服務器可以在響應有效負載（如果有）中描述該原因。

如果請求中提供了身份驗證憑據，則服務器認為它們不足以授予訪問權限。 客戶端不應該自動使用相同的憑據重復請求。 客戶端可以用新的或不同的證書重復請求。 但是，出於與憑據無關的原因，可能會禁止請求。

希望“隱藏”當前存在的禁止目標資源的原始服務器可以使用狀態代碼404（未找到）進行響應。

第二段適用於您的方案。 客戶端/用戶提供了其他人的憑據，服務器認為它們“不足”。