- android - RelativeLayout 背景可绘制重叠内容
- android - 如何链接 cpufeatures lib 以获取 native android 库?
- java - OnItemClickListener 不起作用,但 OnLongItemClickListener 在自定义 ListView 中起作用
- java - Android 文件转字符串
我正在开发一个包含第三方集成的 RESTful API。我们将 OAuth 与授权代码流结合使用以针对第三方进行身份验证。用户必须登录我们的服务,然后再登录第三方,以便我们的应用程序可以访问第三方。
我们的一些资源需要与第三方交互才能完成(比如 GET/third-party-userpic
)。如果用户已经登录到该服务,我们将从我们的数据存储中检索访问 token 并使用它来检索用户的图片,很简单!
但是,如果我们不持有该用户使用该服务的有效凭据,我们就无法获取该用户的照片。这将在首次使用时发生,如果凭据过期或被撤销也可能发生。在这种情况下,我们希望与客户端沟通他们需要访问授权 URI 并开始 OAuth 流程。
我和我设计这个的同事讨论了几种可能性,包括:
200 OK
成功,并指示响应正文中需要或允许以某种方式进行身份验证。这是不优雅的,不能很好地扩展到不同内容类型的资源,并且要求客户端知道它何时访问可能需要此身份验证方案的资源。403 Forbidden
以及用于在 header 或正文中进行身份验证的链接。问题在于,这需要与由于权限问题而生成的 403 Forbidden
区分开来,感觉与我们想要的 403
的含义不符。401 Unauthorized
。这有同样的问题要求客户端将其与用户未登录时我们平台生成的 401
分开。还有一个额外的问题是 401 Unauthorized
是 HTTP 质询-响应身份验证方案的一部分,但我们并未在此处实现质询-响应流程。客户端永远不会触及凭据。4XX
状态代码,以允许客户端轻松地将这种情况与其他可能的故障区分开来。从技术角度来看,这似乎是最干净的,但制作新的状态代码并不是我们可能需要做的事情!最佳答案
开始:我发现很难相信显示用户图片是一个关键组成部分,所以我认为这比用户被谴责为由默认头像代表的后果更大。
在这种情况下,2xx 级响应代码几乎是不可能的,因为操作没有成功。虽然服务器端的机制失败了,但客户端有机会纠正这个问题(通过 OAuth 进行身份验证)。这排除了 5xx 类状态代码,建议使用 4xx 类。
正如您正确断言的那样,401 不太正确,因为此代码特定于所请求的资源。来自 RFC 7235, section 3.1 :
The 401 (Unauthorized) status code indicates that the request has not been applied because it lacks valid authentication credentials for the target resource.
但是,您的目标资源没问题;这是一个麻烦的外部服务。除此之外,401 将带您进入 HTTP 身份验证框架的核心,它引入了许多实际问题。
这个范围内最合适的状态码确实是403。来自RFC 7231, section 6.5.1 :
The 403 (Forbidden) status code indicates that the server understood the request but refuses to authorize it. A server that wishes to make public why the request has been forbidden can describe that reason in the response payload (if any).
虽然一开始这听起来可能无关紧要,但考虑一下
[...] a request might be forbidden for reasons unrelated to the credentials.
RFC 还写道:
The client MAY repeat the request with new or different credentials.
所以这段代码很宽松,因为它不是特定于所请求的资源,而是很好地考虑了阻止成功操作的其他情况。当您按照 Choosing an HTTP Status Code — Stop Making It Hard 上的流程图操作时,这也是您将获得的响应代码。 .
关于rest - HTTP API : Communicating the need to authenticate to a third party,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/37080391/
据我了解,HTTP POST 请求的正文大小没有限制。因此,客户端可能会在一个 HTTP 请求中发送 千兆字节 的数据。现在我想知道 HTTP 服务器应该如何处理此类请求。 Tomcat 和 Jett
在了解Web Deploy我遇到了一些讨论 http://+:80 和 http://*:80 的 netsh.exe 命令。这些是什么意思? 最佳答案 引自URLPrefix Strings (Wi
假设我有一个负载均衡器,然后是 2 个 Web 服务器,然后是一个负载均衡器,然后是 4 个应用程序服务器。 HTTP 响应是否遵循与 HTTP 请求服务相同的路径? 最佳答案 按路径,我假设您是网络
我有一个带有 uri /api/books/122 的资源,如果在客户端为此资源发送 HTTP Delete 时该资源不存在,那么相应的响应代码是什么这个 Action ?是不是404 Not Fou
是否有特定的(或约定的)HTTP 响应消息(或除断开连接之外的其他操作)来阐明服务器不接受 pipelined HTTP requests ? 我正在寻找能让客户端停止流水线化它的请求并分别发送每个请
在了解Web Deploy我遇到了一些讨论 http://+:80 和 http://*:80 的 netsh.exe 命令。这些是什么意思? 最佳答案 引自URLPrefix Strings (Wi
我有一个带有 uri /api/books/122 的资源,如果在客户端为此资源发送 HTTP Delete 时该资源不存在,那么相应的响应代码是什么这个 Action ?是不是404 Not Fou
关闭。这个问题需要更多focused .它目前不接受答案。 想改进这个问题吗? 更新问题,使其只关注一个问题 editing this post . 关闭 8 年前。 Improve this qu
我使用 Mule 作为 REST API AMQP。我必须发送自定义请求方法:“PRINT”,但我收到: Status Code: 400 Bad Request The request could
我需要针对具有不同 HTTP 响应代码的 URL 测试我的脚本。我如何获取响应代码 300、303 或 307 等的示例/示例现有 URL? 谢谢! 最佳答案 您可以使用 httpbin为此目的。 例
我正在尝试编写一个程序来匹配 HTTP 请求及其相应的响应。似乎在大多数情况下一切都运行良好(当传输完全有序时,即使不是,通过使用 TCP 序列号)。 我发现的唯一问题是当我有流水线请求时。在那之后,
RESTful Web Services鼓励使用 HTTP 303将客户端重定向到资源的规范表示。它仅在 HTTP GET 的上下文中讨论主题。 这是否也适用于其他 HTTP 方法?如果客户端尝试对非
当使用chunked HTTP传输编码时,为什么服务器需要同时写出chunk的字节大小并且后续的chunk数据以CRLF结尾? 这不会使发送二进制数据“CRLF-unclean”和方法有点多余吗? 如
这个问题在这里已经有了答案: Is it acceptable for a server to send a HTTP response before the entire request has
如果我向同一台服务器发出多个 HTTP Get 请求并收到每个请求的 HTTP 200 OK 响应,我如何使用 Wireshark 判断哪个请求映射到哪个响应? 目前看起来像是发出了一个 http 请
func main() { http.HandleFunc("/", handler) } func handler(w http.ResponseWriter, r http.Request
我找不到有值(value)的 NodeJS with Typescript 教程,所以我在无指导下潜入水中,果然我有一个问题。 我不明白这两行之间的区别: import * as http from
问一个关于Are HTTP headers case-sensitive?的问题,如果 HTTP 方法区分大小写,大多数服务器如何处理“get”或“post”与“GET”或“POST”? 例如,看起来
我正在使用ASP.NET,在其中我通过动词GET接收查询,该应用程序专用于该URL。 该代码有效,但是如果用户发送的密码使http 200无效,请回答我,并在消息的正文中显示“Fail user or
Closed. This question needs details or clarity。它当前不接受答案。 想改善这个问题吗?添加详细信息,并通过editing this post阐明问题。 9
我是一名优秀的程序员,十分优秀!