Token Auth服务应该返回null还是401？

Question

我正在开发JWT身份验证服务，需要为Angular客户端应用程序提供JWT令牌，我遇到了以下困境：

如果提供了错误的凭据，应该返回什么服务：

1. {token：null} 或
2. 401未授权 Http消息

当安全性存在问题时，这会有什么不同吗？

Answer 1

服务可以同时返回短信和401标题：

HTTP/1.1 401 Unauthorized Content-Type: application/json
{
"error": "unauthorized"
}

php可以：

<? echo json_encode("error" = > "Not Authorized");
      http_response_code(401);
      exit ;
?>

有时我甚至更喜欢从服务器返回404，未经授权的浏览器可以说调用者即使发送错误令牌也是好的