security - 404 访问未授权/未找到资源时未找到？

Question

假设我有 ID 为 1、2、3、4 的任务。仅允许用户 A 访问 1 和 2。

如果他试图访问未经授权的任务 #3，我应该给出 404 还是只说他没有授权？我从登录中得到这个想法，无论用户名是否有效，我总是只给出一个通用的无效用户名/密码组合，以防止用户知道用户/资源是否存在

如果他尝试访问不存在的任务 #5，我应该给出 404 吗？或者说在通用页面中找不到资源？

Answer 1

假设您有一个网站，其中一些页面具有以下访问权限:

一个普通页面，每个人都可以访问。

一个需要登录用户的页面，仍然可以被大众访问。

一个管理页面，只能由一小群人访问。

一个不存在的页面。

因此，对于没有权利的访问者，我建议使用:
403 (无权限)与 2 .
404 (不存在)与 3 ，因为一般用户不应该遇到任何指向该页面的链接，因此对于他们来说也不应该存在。
显然 4 ，一个不存在的页面，应该总是导致 404 回复。