http - 在 "Not Authenticated"和 "Not authorized"情况下使用什么 HTTP 代码？

Question

我读到 "401 Unauthorized"用户必须使用代码:

1. 未登录，但需要登录(“未验证”)；
2. 已登录，但他的个人资料不允许查看该 url(“未授权”)；

根据 RFC，在这两种情况下，服务器都必须返回 401 代码。但是我需要在我的 ajax 请求中进行区分。

有人有解决这个问题的秘诀吗？

注意:我不想使用 403 Forbidden 代码，因为根据 RFC，在 403 "Authorization will not help" 中。

Answer 1

除非您打算使用 HTTP 身份验证，否则正确的响应是 403(“禁止访问”)。

401 响应代码会触发浏览器显示密码对话框，然后使用带有用户提供的密码数据的 WWW-Authenticate header 重新提交相同的请求。这可能不是您想要的行为。

不要太在意 RFC 中的解释——您真正需要注意的是各种响应代码对浏览器和搜索引擎的副作用。

至于 "Authorization will not help" 位，在这种情况下是正确的，因为使用了 HTTP 授权(具体表示 WWW-Authenticate header )，事实上，不会有帮助。

403 响应告诉浏览器用户无权发出该请求，浏览器不应不尝试收集身份验证数据并重新提交请求。这正是您想要的响应。