Was ist der geeignete HTTP-Statuscode, der zurückgegeben werden soll, wenn ein Benutzer versucht, sich mit einem falschen Benutzernamen / Passwort, aber korrektem Format anzumelden?

Eine ähnliche Frage wird hier gestellt: Was ist ein geeigneter HTTP-Statuscode, der von einem REST-API-Service für einen Validierungsfehler zurückgegeben werden kann?

Die Antwort im obigen Thread lautet: "Wenn der URI beispielsweise ein ISO-8601-Datum haben soll und Sie feststellen, dass er im falschen Format vorliegt oder sich auf den 31. Februar bezieht, würden Sie einen HTTP 400 zurückgeben. Das Gleiche gilt, wenn Sie dies erwarten." wohlgeformtes XML in einem Entitätskörper und es kann nicht analysiert werden. "

Was passiert jedoch, wenn der Benutzer korrekt formatierte Daten übermittelt hat? Damit meine ich, dass der Benutzer eine einfache alphabetische Zeichenfolge / einen Text für den Benutzernamen und das Passwort eingereicht hat (was für meine Anwendung vollkommen gültig ist). Das einzige Problem ist, dass das Passwort nicht mit dem Benutzernamen übereinstimmt. In diesem Fall ist 400 falsch, da es sich um eine vollkommen gültige und wohlgeformte Syntax handelt.

Ein 401 wäre falsch (wie hier vorgeschlagen: Welcher HTTP-Statuscode für Benutzername oder Passwort war falsch? ), Da der Benutzer nicht versucht, auf eine Seite zuzugreifen, sondern lediglich versucht, sich anzumelden und Daten einzugeben, die nicht übereinstimmen.

Wenn Sie auf den ersten Beitrag zurückblicken, auf den ich verlinkt habe, heißt es in der zweiten Antwort, dass 422 die richtige Antwort ist (und für mich richtig aussieht). Ich verwende jedoch Django Rest Framework und 422 ist nicht Teil der Statuscodes (a Eine Liste der Statuscodes, die Teil von DRF sind, finden Sie hier: http://www.django-rest-framework.org/api-guide/status-codes/#client-error-4xx )

404 sieht auch nicht richtig aus, weil die Daten erfolgreich akzeptiert und nicht abgelehnt wurden.

Was ist die wirklich richtige Antwort, die verwendet werden sollte?

Der richtige HTTP-Code wäre tatsächlich 401. Aus dem RFC :

Der Statuscode 401 (nicht autorisiert) zeigt an, dass die Anforderung nicht angewendet wurde, da keine gültigen Authentifizierungsdaten für die Zielressource vorliegen. Der Server, der eine 401-Antwort generiert, MUSS ein WWW-Authenticate-Headerfeld (Abschnitt 4.1) senden, das mindestens eine für die Zielressource geltende Herausforderung enthält.

Wenn die Anforderung Authentifizierungsdaten enthielt, zeigt die Antwort 401 an, dass die Autorisierung für diese Anmeldeinformationen verweigert wurde. Der Benutzeragent KANN die Anforderung mit einem neuen oder ersetzten Autorisierungsheaderfeld wiederholen (Abschnitt 4.2).

401 nicht Autorisiert

403 Verboten

http://www.buggybread.com/2012/11/http-error-codes-401-access-denied-403.html

Ich denke, dass es gut sein wird, den Antwortstatuscode 200 einzustellen . Um einen Angriff auf die Wortliste zu verhindern. In riesigen massiven Cyberkriminellen konnte nicht identifizieren, welche Anfrage und Antworten richtig sind)))