访问被拒绝:403还是404?

Rob*_*bok 17 rest http http-status-code-403 http-status-code-404

如果有人请求访问他不允许看到的实体,应该返回什么状态代码?你可能会说这是403:禁止.但通常的做法是返回404吗?我不希望有人知道,如果他不被允许看到它,这个实体就会存在.你怎么看?

Teo*_*ahi 25

使用404未找到.

当服务器不想发回拒绝提供请求的原因时,404状态代码也可用于403场景.一个很好的例子是当服务器感知某种攻击时,这可能是暴力攻击.在这种情况下,服务器响应404 Not Not而不是403 Forbidden和解释.

来源:Pro ASP.NET Web API安全性