REST API：用于身份验证违规的HTTP状态代码

Question

我正在实现REST API，而auth模块基于JWT。以下是我为其定义的HTTP状态代码：

• 没有身份验证令牌的请求：401 UNAUTHORIZED
• 身份验证令牌已过期：410 UNAUTHORIZED
• 身份验证令牌不包含必需的声明：403 FORBIDDEN
• Auth违规（即令牌被篡改）：???

如果是令牌篡改，我应该使用哪种HTTP状态代码？ 401（未经授权或417（EXPECTATION_FAILED）？

Answer 1

如何判断令牌是否被篡改？在我看来，你只能知道它是正确还是不正确。在我看来，有人试图使用无效令牌UNAUTHORIZED。 EXPECTATION _ FAILED专门针对Expect标题，此处似乎不合适。