Tôi có nên trả lại mã phản hồi 401 hoặc 405 cho người dùng REST API mà không có quyền truy cập đầy đủ không?

Question

Tôi đang phát triển một API cũng sẽ có thành phần xác thực/ủy quyền. Bất kỳ ai, bất kể trạng thái xác thực, sẽ có thể viết (POST), nhưng tùy thuộc vào việc bạn chưa được xác thực, được xác thực là người dùng bình thường hay được xác thực là quản trị viên và tài nguyên nào bạn đang cố gắng truy cập, tôi sẽ để trả về các câu trả lời khác nhau cho GET, DELETE và PUT.

Tôi đang cố gắng tìm ra mã phản hồi thích hợp nhất cho người dùng không được xác thực và/hoặc được ủy quyền.

Hãy nhớ http://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html:

trái phép -> 401

Forbidden -> 403

Phương pháp không được phép -> 405

Hãy sử dụng một ví dụ cụ thể:

• John Doe chưa được xác thực, DELETE có nhận được 401 hoặc 405 không?
• Amy được xác thực nhưng không được ủy quyền, trên DELETE cô ấy có nhận được 403 hoặc 405 không?

(Hãy ghi nhớ rằng mặc dù John và Amy cấm hoặc trái phép đó không có nghĩa họ arent thể truy cập vào tài nguyên cùng với một ĐỘNG TỪ HTTP khác nhau.)

Cảm ơn.

Answer 1

405 Method Not Allowed chỉ nên được sử dụng nếu bạn không hỗ trợ phương pháp. Nó không nên được sử dụng để nói với khách hàng rằng họ không thể sử dụng phương pháp này.

Vì vậy, chỉ có mã HTTP tốt trong trường hợp của bạn là 401 Unauthorized. Nó chỉ ra cho khách hàng rằng phương thức tồn tại và họ cần đăng nhập để truy cập nó.

Answer 2

Trong trường hợp này, tôi nghĩ cung cấp một số ví dụ để làm rõ có ích:

• Unauthenticated + phương pháp hỗ trợ = 401
• Unauthenticated + phương pháp không được hỗ trợ = 405
• Authenticated + ủy quyền + Phương pháp hỗ trợ = 2xx
• Được xác thực + Đã ủy quyền + Phương thức không được hỗ trợ = 405
• Au Phương pháp hỗ trợ thenticated + trái phép + = 403
• Authenticated + trái phép + Phương pháp không được hỗ trợ = 405

Nói cách khác, từ một quan điểm về thủ tục:

1. Kiểm tra xem phương pháp được hỗ trợ. Nếu không: 405
2. Nếu được hỗ trợ, hãy kiểm tra xem người dùng có được xác thực hay không. Nếu không: 401
3. Nếu được xác thực, hãy kiểm tra xem người dùng có được ủy quyền hay không. Nếu không được: 403
4. Nếu ủy quyền: 2xx

EDIT: tôi stumbled khi sơ đồ này và nghĩ rằng nó có thể có ích cho bất kỳ ai khác có thể vấp ngã trên bài đăng này. Nhấn vào đây để phóng to.

gốc here.