由于授权失败，如何构建部分REST响应？

Question

鉴于我的API响应：

{
    "public_field1": "value1",
    "public_field2": "value2",
    "auth_required_field": "secret"
}

我想知道用什么策略来表明响应包含由于授权失败而导致的部分数据。

最初我只是从响应中删除字段，但理想情况下，客户端会有某种迹象表明响应无法完整显示。

以下是我考虑过的一些想法：

• 返回HTTP 206（非常不可能，因为意图与用例完全不同）。
• 只需移除该字段，让客户端自生自灭。
• 删除字段并添加自定义标头（X-Failed-Authorization：更具体的详细信息？）

Answer 1

我个人填写的是，您不应该向用户说明只有在进行身份验证和授权时才有可用的隐藏字段。否则可能是安全问题。

此外，我没有看到非授权用户需要知道是否存在隐藏字段的用例。