Sollte ich 401 oder 405 Response-Code an einen REST-API-Benutzer ohne ausreichenden Zugriff zurückgeben?

Question

Ich entwickle eine API, die auch eine Authentifizierungs-/Autorisierungskomponente haben wird.

Jeder, unabhängig vom Authentifizierungsstatus, kann schreiben (POST), aber abhängig davon, ob Sie nicht authentifiziert, als normaler Benutzer authentifiziert oder als Administrator authentifiziert sind und auf welche Ressource Sie zugreifen möchten um verschiedene Antworten für GET, DELETE und PUT zurückzugeben.

Ich versuche, den am besten geeigneten Antwortcode für einen Benutzer herauszufinden, der nicht authentifiziert und/oder autorisiert ist.

Beachten Sie http://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html:

Unauthorized -> 401

Verboten -> 403

Methode nicht erlaubt -> 405

Lassen Sie sich ein spezifischen Beispiele verwenden:

• John Doe ist nicht authentifiziert, auf DELETE sollte er eine 401 oder eine 405 erhalten?
• Amy ist authentifiziert aber nicht autorisiert, auf DELETE sollte sie eine 403 oder eine 405 erhalten?

(Beachten Sie, dass, obwohl John und Amy sind verboten oder nicht autorisiert das bedeutet nicht, sie in der Lage Arent die gleiche Ressource mit einem anderen HTTP-Verb zuzugreifen.)

Dank.

Answer 1

405 Method Not Allowed sollte nur verwendet werden, wenn Sie die Methode nicht unterstützen. Es sollte nicht verwendet werden, um den Client mitzuteilen, dass sie diese Methode nicht verwenden können.

Also der einzige gute HTTP-Code in Ihrem Fall wäre 401 Unauthorized. Sie gibt dem Client an, dass die Methode existiert und dass sie sich anmelden muss, um darauf zugreifen zu können.

Answer 2

In diesem Fall denke ich einige Beispiele für Klärung zu sorgen sind nützlich:

• Unauthenticated + unterstützte Methode = 401
• Unauthenticated + nicht unterstützte Methode = 405
• authentifizierte + Autorisierte + Unterstützte method = 2xx
• Authentifiziert + Autorisiert + Nicht unterstützte Methode = 405
• Au thenticated + Unerlaubte + unterstützte Methode = 403
• authentifiziert + Unerlaubte + nicht unterstützte Methode = 405

Mit anderen Worten, von einem prozeduralen Standpunkt:

1. prüfen, ob Methoden unterstützt werden. Wenn nicht: 405
2. Wenn unterstützt, überprüfen Sie, ob der Benutzer authentifiziert ist. Wenn nicht: 401
3. Wenn authentifiziert, überprüfen Sie, ob der Benutzer berechtigt ist. Falls nicht: 403
4. Wenn berechtigt: 2xx

EDIT: stieß ich auf diesem Diagramm und dachte, dass es für jeden nützlich sein könnten sonst die über dieses Thema stolpern könnten. Klicken um zu vergrößern.

Original-here.