rest - 由于暴力攻击而被锁定的用户的正确http状态是什么？

Question

如果发生暴力攻击，REST api应该为锁定的用户返回正确的状态码？实际上，当用户在最近3分钟内三次失败密码时，将锁定其帐户。

如果他尝试第四次登录，它将收到带有状态代码401的{"success":"false"}的响应。它正式正确吗？

Answer 1

我是茶壶

如果确定您的应用程序受到攻击，则可以返回 418 (我是茶壶)，并在响应有效负载中使用“简短而粗壮”的消息。

未经授权和禁止

对于HTTP身份验证(无状态并在 Authorization header 中发送凭据)，请使用 401 (未经授权)来表示该请求的凭据已被拒绝。

假设凭据有效，但用户帐户已锁定(或处于阻止服务器接受请求的任何其他条件)，则可以在有效负载中使用 403 (禁止)和描述性消息。引用RFC 7235:

A server that receives valid credentials that are not adequate to gain access ought to respond with the 403 (Forbidden) status code.