用户通过身份验证但未授权时返回哪个状态代码？

Question

在系统上存在两种类型的用户：教师和学生。

规则：

• 只有教师才能通过访问/new/project来创建项目。发生这种情况时，响应的状态代码为200。

问题：

在REST场景中，如果学生尝试访问必须返回状态代码的/new/project：

• Ajax请求
• “正常”请求

学生必须是重定向（302）？

学生必须看到github的未找到页面（404）吗？

403状态如何？