经过身份验证但未经授权的HTTP状态代码？

Question

如果请求经过身份验证（根据The OAuth 2.0 Authorization Framework: Bearer Token Usage: Authorization Request Header Field），REST API会响应哪个HTTP状态代码，但经过身份验证的用户未经授权查看所请求的资源？

例如，假设我要求查看某个用户的个人资料：GET /users/123。我成功验证，但该用户已阻止我。服务器应该响应哪个HTTP状态代码？

相关：

• Authentication versus Authorization
• HTTP status code for missing authentication

Answer 1

您需要的代码是403 Forbidden：

来自wikipedia：

  

403响应通常表示以下两种情况之一：

     

  
• 提供了身份验证，但不允许经过身份验证的用户执行请求的操作。
  
• 禁止所有用户操作。例如，当目录列表已经存在时，对目录列表的请求返回代码403   禁用。