Mã trạng thái HTTP đúng khi tài nguyên có sẵn nhưng không thể truy cập do các quyền

Question

Tôi đang xây dựng giao thức RESTful cho ứng dụng Dynamic Carpooling, cho luận án Khoa học máy tính của tôi.

Trong Nghị định thư, tôi cũng phải chỉ định chính thức mã trạng thái HTTP cho mỗi thao tác. Tôi có vấn đề "liên quan đến quyền riêng tư" này. Giả sử như sau:

GET /api/persons/angela/location

Lấy vị trí hiện tại của người dùng "angela". Rõ ràng là không phải ai cũng có thể nhận được kết quả. Chỉ có bản thân angela và một người lái xe có thể sẽ chọn cô ấy mới có thể biết điều đó.

Tôi không thể quyết định có trả lại 404 không tìm thấy hay cấm 401 ở đây hay không.

Bất kỳ gợi ý? Điều gì sẽ là tốt nhất và tại sao?

Answer 1

Theo Wikipedia (và RFC 2616), mã 401 được sử dụng khi trang tồn tại nhưng yêu cầu xác thực; 403 dành cho trang xác thực sẽ không thay đổi bất kỳ thứ gì. (Trong tự nhiên, 403 thường có nghĩa là các điều khoản trên một cái gì đó là sai, trong khi 401 sẽ nhắc người dùng cho một tên người dùng/mật khẩu). 404 là nơi tài liệu không tồn tại.

Trong trường hợp của bạn, có vẻ như 401 là mã thích hợp nhất, vì có một số cách xác thực người dùng DO có quyền truy cập vào trang.

Answer 2

Chắc chắn KHÔNG 404. 404 không tìm thấy.
401 bị từ chối truy cập.
403 bị cấm.

tôi sẽ đi với 401

Answer 3

Nếu chứng uỷ quyền được cung cấp trong yêu cầu và người yêu cầu không có quyền truy cập khu vực này thì bạn nên trở lại 403.

Nếu không có thông tin cho phép được cung cấp trong yêu cầu sau đó bạn nên trả lại 401.

Answer 4

Với tôi tôi sẽ sử dụng 400 yêu cầu không hợp lệ.
Bởi vì đơn đăng ký của tôi sẽ không đi các tài nguyên không thể truy cập được theo chương trình.
Việc lọc quyền của người dùng và ẩn tài nguyên không thể truy cập là trải nghiệm người dùng tốt theo ý kiến ​​của tôi. Nếu máy chủ của tôi có yêu cầu không thể truy cập có nghĩa là một số người đang cố gắng làm điều gì đó.
Đó là lý do tại sao tôi chọn 400 - Yêu cầu không hợp lệ trong các ứng dụng của tôi.