使用基于表单的身份验证时适当的未授权响应

Question

我有一个使用基于表单的身份验证的Web应用程序。当AJAX请求因会话超时而失败时，我需要发送适当的通知。看起来我可以发送：

• 403 Forbidden，但这意味着“授权无效”，这是错误的。
• 401 Unauthorized，但响应“必须包含WWW-Authenticate标头字段”，以及使用基于表单的身份验证时应该具有的确切值的信息是有限的。

当AJAX请求因用户未经过身份验证而失败时，那么适当的响应是什么？

Answer 1

我倾向于将403解释为“HTTP授权无效”，并且在不使用HTTP身份验证时使用它而不是401.