api - 处理禁止的 REST 请求 403 与 404

Question

从语义上讲，API 应该返回适​​合具体情况的错误消息。例如，如果用户向 GET/article/2386 发出请求，则应返回(用户需要经过身份验证才能请求该 API 来处理权限管理):

• 文章数据(如果存在并且用户拥有权限)，
• 404 Not Found，如果不存在则显示错误消息，
• 403 如果用户没有权限，则禁止并显示错误消息。

现在我想知道在这两种情况下返回 403 Forbidden 是否不是更明智的做法，因为邪恶的用户可能会尝试随机扫描资源并了解它们是否存在(如果存在则返回 403，如果不存在则返回 404) 。

那么在这两种情况下返回 403 是否明智，还是“犯罪”？

Answer 1

我以前遇到过很多类似的情况，如果他们没有权限，我通常会选择 404ing 的另一条路线。我的理性是没有 ID 2386 的文章可供查看，因此 NotFound。我更喜欢“你没有权限查看不存在的东西”。

至于“这是否犯罪”，我会说不。我远非 RESTefarian，但我认为 REST 是让你的 api 对消费者来说更直观的指南。如果安全意味着您需要稍微改变一些事情，那就这样吧。另外，这真的会让它变得不那么直观吗？

我希望这会有所帮助:)。