每当我在基于Django/Piston的REST API应用程序中遇到验证失败时,我目前正在返回401 Unauthorized .看过HTTP状态代码注册表后 我不相信这是验证失败的合适代码,你们都推荐什么？

• 400错误请求
• 401未经授权
• 403禁止
• 405方法不允许
• 406不可接受
• 412前提条件失败
• 417期望失败
• 422不可处理的实体
• 424依赖失败

更新:上面的"验证失败"表示应用程序级别数据验证失败,即错误指定日期时间,虚假电子邮件地址等.

我正在创建一个RESTful服务来为Web应用程序提供数据.我有两个相关的问题.

1.如何处理未经授权的请求？

我打算用以下代码回复请求:

• 资源是否打开并找到？200好的
• 您是否需要通过身份验证才能访问资源？401未经授权
• 您是否可以访问某类资源？403禁止
• 您是否可以访问某类资源,但不能访问此特定资源？404 Not Found阻止人们了解他们无法访问的资源的存在.
• 资源不存在吗？404未找到

这是RESTful服务的推荐方式吗？

2. WWW-Authenticate401响应应该提供什么标题？

我在维基百科上阅读(可能不是最准确的资源,但它对我有用)401响应必须包含一个WWW-Authenticate标题,但是在进一步搜索时我找不到任何资源说明这个值意味着什么以及它应该是什么.

我找到了几个有关此标题的SO问题和论坛主题,它们似乎都是关于OAuth的,建议不要使用401状态代码或者说你可以做些什么.

此标头应包含的正确值是什么？

我有一个 Web 应用程序，其中包含在浏览器上运行的 Javascript 部分。该前端使用多个 HTTP 端点（或多或少是 REST）。前端必须能够区分401和403响应，并且不得接收3xx通常用于人类用户的重定向。

授权是通过简单的表单登录完成的（那里不涉及 Javascript），然后使用会话 cookie（用于“REST”和正常请求）。

WWW-Authenticate标头值的正确值是多少？

• 来自RFC 7235：“生成 401（未经授权）响应的服务器必须发送包含至少一个质询的 WWW-Authenticate 标头字段。”

• 该超文本传输协议（HTTP）认证方案注册表没有列出基于表单的身份验证的方案。

也可以看看：

• 未使用 HTTP 基本身份验证时 HTTP 401 未经授权？
• RESTful HTTP API 中的授权，401 WWW-Authenticate