HTTP-Antwortcode für POST, wenn die Ressource bereits vorhanden ist

Ich baue einen Server, auf dem Clients Objekte speichern können. Diese Objekte werden auf Client-Seite vollständig erstellt und enthalten Objekt-IDs, die für die gesamte Lebensdauer des Objekts dauerhaft sind.

Ich habe die API so definiert, dass Clients Objekte mit PUT erstellen oder ändern können:

PUT /objects/{id} HTTP/1.1
...

{json representation of the object}

Die {id} ist die Objekt-ID und daher Teil des Request-URI.

Jetzt denke ich auch darüber nach, Clients zu erlauben, das Objekt mit POST zu erstellen:

POST /objects/ HTTP/1.1
...

{json representation of the object, including ID}

Da POST als "Anhängen" -Operation gedacht ist, bin ich mir nicht sicher, was ich tun soll, falls das Objekt bereits vorhanden ist. Sollte ich die Anfrage als Änderungsanforderung behandeln oder einen Fehlercode zurückgeben (welcher)?

Mein Gefühl ist 409 Conflictdas am besten geeignete, aber natürlich selten in der Wildnis gesehen:

Die Anforderung konnte aufgrund eines Konflikts mit dem aktuellen Status der Ressource nicht abgeschlossen werden. Dieser Code ist nur in Situationen zulässig, in denen erwartet wird, dass der Benutzer den Konflikt möglicherweise lösen und die Anforderung erneut senden kann. Der Antworttext sollte genügend Informationen enthalten, damit der Benutzer die Ursache des Konflikts erkennen kann. Im Idealfall würde die Antwortentität genügend Informationen enthalten, damit der Benutzer oder Benutzeragent das Problem beheben kann. Dies ist jedoch möglicherweise nicht möglich und nicht erforderlich.

Konflikte treten am wahrscheinlichsten als Antwort auf eine PUT-Anforderung auf. Wenn beispielsweise die Versionierung verwendet wird und die Entität, die PUT ist, Änderungen an einer Ressource enthält, die mit denen einer früheren Anforderung (von Drittanbietern) in Konflikt stehen, verwendet der Server möglicherweise die Antwort 409, um anzuzeigen, dass die Anforderung nicht abgeschlossen werden kann . In diesem Fall würde die Antwortentität wahrscheinlich eine Liste der Unterschiede zwischen den beiden Versionen in einem Format enthalten, das durch den Antwortinhaltstyp definiert wird.

Gemäß RFC 7231 kann ein 303 See Other verwendet werden, wenn das Ergebnis der Verarbeitung eines POST einer Darstellung einer vorhandenen Ressource entspricht .

Persönlich gehe ich mit der WebDAV-Erweiterung 422 Unprocessable Entity.

Gemäß RFC 4918

Der 422 Unprocessable EntityStatuscode bedeutet, dass der Server den Inhaltstyp der Anforderungsentität versteht (daher ist ein 415 Unsupported Media TypeStatuscode unangemessen) und die Syntax der Anforderungsentität korrekt ist (daher ist ein 400 Bad RequestStatuscode unangemessen), die enthaltenen Anweisungen jedoch nicht verarbeiten konnte.

Es geht nur um den Kontext und auch darum , wer für die Verarbeitung von Duplikaten in Anforderungen verantwortlich ist (Server oder Client oder beides).

Wenn der Server nur auf das Duplikat zeigt , sehen Sie sich 4xx an:

• 400 Bad Request - Wenn der Server eine Anfrage nicht verarbeitet, weil ein offensichtlicher Clientfehler vorliegt
• 409 Konflikt - Wenn der Server eine Anforderung nicht verarbeitet, der Grund dafür jedoch nicht der Fehler des Clients ist
• ...

Für implizite Handhabung von Duplikaten, Blick auf 2XX:

• 200 OK
• 201 Erstellt
• ...

Wenn vom Server erwartet wird, dass er etwas zurückgibt, schauen Sie sich 3XX an:

• 302 gefunden
• 303 Siehe Andere
• ...

Wenn der Server auf die vorhandene Ressource verweisen kann, bedeutet dies eine Umleitung.

Wenn dies nicht ausreicht, empfiehlt es sich immer, eine Fehlermeldung im Hauptteil der Antwort vorzubereiten.

Vielleicht zu spät zum Spiel, aber ich bin auf dieses Semantikproblem gestoßen, als ich versucht habe, eine REST-API zu erstellen.

Um Wrikkens Antwort ein wenig zu erweitern, können Sie entweder 409 Conflictoder 403 Forbiddenabhängig von der Situation verwenden. Kurz gesagt, verwenden Sie einen 403-Fehler, wenn der Benutzer absolut nichts tun kann, um den Konflikt zu lösen und die Anforderung abzuschließen (z. B. kann er keine senden DELETEAnforderung, die Ressource explizit zu entfernen) oder verwenden Sie 409, wenn möglicherweise etwas getan werden könnte.

10.4.4 403 Verboten

Der Server hat die Anfrage verstanden, weigert sich jedoch, sie zu erfüllen. Die Autorisierung hilft nicht und die Anfrage sollte nicht wiederholt werden. Wenn die Anforderungsmethode nicht HEAD war und der Server veröffentlichen möchte, warum die Anforderung nicht erfüllt wurde, sollte der Grund für die Ablehnung in der Entität beschrieben werden. Wenn der Server diese Informationen dem Client nicht zur Verfügung stellen möchte, kann stattdessen der Statuscode 404 (Nicht gefunden) verwendet werden.

Heutzutage sagt jemand "403" und ein Berechtigungs- oder Authentifizierungsproblem kommt in den Sinn, aber die Spezifikation besagt, dass es im Grunde der Server ist, der dem Client sagt, dass er es nicht tun wird, fragen Sie es nicht noch einmal, und hier ist, warum der Client es nicht tun sollte 't.

Wie für PUTvs. POST... POSTsollte verwendet werden, um eine neue Instanz einer Ressource zu erstellen, wenn der Benutzer keine Möglichkeit hat oder keine Kennung für die Ressource erstellen sollte. PUTwird verwendet, wenn die Identität der Ressource bekannt ist.

9.6 PUT

...

Der grundlegende Unterschied zwischen den POST- und PUT-Anforderungen spiegelt sich in der unterschiedlichen Bedeutung des Anforderungs-URI wider. Der URI in einer POST-Anforderung gibt die Ressource an, die die eingeschlossene Entität verarbeitet. Diese Ressource kann ein Datenakzeptanzprozess, ein Gateway zu einem anderen Protokoll oder eine separate Entität sein, die Anmerkungen akzeptiert. Im Gegensatz dazu identifiziert der URI in einer PUT-Anforderung die der Anforderung beigefügte Entität. Der Benutzeragent weiß, welcher URI beabsichtigt ist, und der Server darf NICHT versuchen, die Anforderung auf eine andere Ressource anzuwenden. Wenn der Server möchte, dass die Anforderung auf einen anderen URI angewendet wird,

es MUSS eine 301-Antwort (dauerhaft verschoben) senden; Der Benutzeragent kann dann selbst entscheiden, ob die Anforderung umgeleitet werden soll oder nicht.

"302 gefunden" klingt für mich logisch. Und der RFC 2616 sagt, dass er für andere Anfragen als GET und HEAD beantwortet werden kann (und dies schließt sicherlich POST ein).

Der Besucher wird jedoch weiterhin auf diese URL zugreifen, um diese "Gefundene" Ressource vom RFC abzurufen. Um direkt zur echten "Gefundenen" URL zu gelangen, sollte "303 See Other" verwendet werden. Dies ist sinnvoll, erzwingt jedoch einen weiteren Aufruf, um die folgende URL abzurufen. Auf der guten Seite ist dieses GET zwischenspeicherbar.

Ich denke, dass ich "303 See Other" verwenden würde . Ich weiß nicht, ob ich mit dem "Ding" im Körper antworten kann, aber ich möchte dies tun, um eine Hin- und Rückfahrt auf dem Server zu speichern.

UPDATE: Nach dem erneuten Lesen des RFC denke ich immer noch, dass ein nicht vorhandener "4XX + 303 Found" -Code der richtige sein sollte. Der "409-Konflikt" ist jedoch der beste vorhandene Antwortcode (wie von @Wrikken angegeben), möglicherweise mit einem Standortheader, der auf die vorhandene Ressource verweist.

Ich denke nicht, dass du das tun solltest.

Wie Sie wissen, dient der POST zum Ändern der Sammlung und zum Erstellen eines neuen Elements. Wenn Sie also die ID senden (ich denke, das ist keine gute Idee), sollten Sie die Sammlung ändern, dh das Element ändern, aber es ist verwirrend.

Verwenden Sie diese Option, um ein Element ohne ID hinzuzufügen. Es ist die beste Praxis.

Wenn Sie eine EINZIGARTIGE Einschränkung (nicht die ID) erfassen möchten, können Sie wie bei PUT-Anforderungen auf 409 antworten. Aber nicht die ID.

Ich würde mit gehen 422 Unprocessable Entity, was verwendet wird, wenn eine Anfrage ungültig ist, aber das Problem nicht in der Syntax oder Authentifizierung liegt.

Als Argument gegen andere Antworten 4xxwürde die Verwendung eines fehlerfreien Codes bedeuten, dass es sich nicht um einen Clientfehler handelt, und dies ist offensichtlich der Fall. Die Verwendung eines 4xxfehlerfreien Codes zur Darstellung eines Clientfehlers macht überhaupt keinen Sinn.

Es scheint, dass 409 Conflict hier die häufigste Antwort ist, aber gemäß der Spezifikation impliziert dies, dass die Ressource bereits vorhanden ist und die neuen Daten, die Sie auf sie anwenden, nicht mit ihrem aktuellen Status kompatibel sind. Wenn Sie eine sendenPOSTWenn Sie beispielsweise einen Benutzernamen verwenden, der bereits vergeben ist, besteht kein Konflikt mit der Zielressource, da die Zielressource (die Ressource, die Sie erstellen möchten) noch nicht veröffentlicht wurde. Dies ist ein Fehler speziell für die Versionskontrolle, wenn ein Konflikt zwischen der Version der gespeicherten Ressource und der Version der angeforderten Ressource besteht. Dies ist zu diesem Zweck sehr nützlich, beispielsweise wenn der Client eine alte Version der Ressource zwischengespeichert hat und eine Anforderung basierend auf dieser falschen Version sendet, die nicht mehr bedingt gültig wäre. "In diesem Fall würde die Antwortdarstellung wahrscheinlich Informationen enthalten, die zum Zusammenführen der Unterschiede basierend auf dem Revisionsverlauf nützlich sind." Die Anforderung, einen anderen Benutzer mit diesem Benutzernamen zu erstellen, ist einfach nicht verarbeitbar und hat nichts mit der Versionskontrolle zu tun.

Für den Datensatz ist 422 auch der Statuscode, den GitHub verwendet, wenn Sie versuchen, ein Repository mit einem bereits verwendeten Namen zu erstellen.

Ich denke, für REST müssen Sie nur eine Entscheidung über das Verhalten für dieses bestimmte System treffen. In diesem Fall wäre die "richtige" Antwort eine von mehreren hier gegebenen Antworten. Wenn Sie möchten, dass die Anforderung gestoppt wird und sich so verhält, als ob der Client einen Fehler gemacht hat, den er beheben muss, bevor Sie fortfahren, verwenden Sie 409. Wenn der Konflikt wirklich nicht so wichtig ist und Sie die Anforderung am Laufen halten möchten, leiten Sie die Antwort um Client für die gefundene Entität. Ich denke, richtige REST-APIs sollten ohnehin nach einem POST zum GET-Endpunkt für diese Ressource umleiten (oder zumindest den Standortheader bereitstellen), damit dieses Verhalten eine konsistente Erfahrung ergibt.

BEARBEITEN: Es ist auch erwähnenswert, dass Sie einen PUT in Betracht ziehen sollten, da Sie die ID angeben. Dann ist das Verhalten einfach: "Es ist mir egal, was gerade da ist, leg das Ding dort hin." Das heißt, wenn nichts da ist, wird es geschaffen; Wenn etwas da ist, wird es ersetzt. Ich denke, ein POST ist besser geeignet, wenn der Server diese ID verwaltet. Wenn Sie die beiden Konzepte trennen, erfahren Sie im Grunde, wie Sie damit umgehen sollen (dh PUT ist idempotent und sollte immer funktionieren, solange die Nutzdaten validiert werden. POST erstellt immer. Wenn also eine Kollision von IDs vorliegt, würde ein 409 diesen Konflikt beschreiben.) .

Eine weitere mögliche Behandlung ist schließlich die Verwendung von PATCH. Ein PATCH ist definiert als etwas, das den internen Status ändert und nicht auf das Anhängen beschränkt ist.

PATCH würde das Problem lösen, indem Sie bereits vorhandene Elemente aktualisieren können. Siehe: RFC 5789: PATCH

Warum nicht ein 202 akzeptiert ? Es ist eine OK-Anfrage (200s), es gab per se keine Clientfehler (400s).

Aus 10 Statuscode-Definitionen :

"202 Akzeptiert. Die Anforderung wurde zur Verarbeitung angenommen, aber die Verarbeitung wurde nicht abgeschlossen."

... weil es nicht fertiggestellt werden musste, weil es bereits existierte. Der Kunde weiß nicht, dass es bereits existiert, er hat nichts falsch gemacht.

Ich lehne mich daran, eine 202 zu werfen und ähnliche Inhalte zurückzugeben, die ein GET zurückgegeben /{resource}/{id}hätte.

Stolperte über diese Frage, während ich nach korrektem Code für doppelte Datensätze suchte.

Verzeihen Sie meine Unwissenheit, aber ich verstehe nicht, warum jeder den Code "300" ignoriert, der eindeutig "Multiple Choice" oder "Ambiguous" sagt.

Meiner Meinung nach wäre dies der perfekte Code zum Erstellen eines nicht standardmäßigen oder eines bestimmten Systems für Ihren eigenen Gebrauch. Ich könnte mich auch irren!

https://tools.ietf.org/html/rfc7231#section-6.4.1

Wahrscheinlicher ist es 400 Bad Request

6.5.1. 400 schlechte Anfrage

Der Statuscode 400 (Bad Request) gibt an, dass der Server die Anforderung aufgrund eines als Clientfehler wahrgenommenen Fehlers nicht verarbeiten kann oder will (z. B. fehlerhafte Anforderungssyntax, ungültiges Anforderungsnachrichten-Framing oder irreführendes Anforderungsrouting).

Da die Anforderung einen doppelten Wert enthält (Wert, der bereits vorhanden ist), kann sie als Clientfehler wahrgenommen werden. Sie müssen die Anforderung vor dem nächsten Versuch ändern.
Unter Berücksichtigung dieser Tatsachen können wir als HTTP STATUS 400 Bad Request schließen.

Was ist mit 208 - http://httpstatusdogs.com/208-already-reported ? Ist das eine Option?

Meiner Meinung nach sollte kein Fehler ausgelöst werden, wenn das einzige eine Wiederholungsressource ist. Schließlich gibt es weder auf der Client- noch auf der Serverseite einen Fehler.

In Ihrem Fall können Sie verwenden 409 Conflict

Und wenn Sie einen anderen überprüfen möchten HTTPs Statuscode aus der folgenden Liste

1 × x Information

100 Continue
101 Switching Protocols
102 Processing

2 × x Erfolg

200 OK
201 Created
202 Accepted
203 Non-authoritative Information
204 No Content
205 Reset Content
206 Partial Content
207 Multi-Status
208 Already Reported
226 IM Used

3 × x Umleitung

300 Multiple Choices
301 Moved Permanently
302 Found
303 See Other
304 Not Modified
305 Use Proxy
307 Temporary Redirect
308 Permanent Redirect

4 × x Client-Fehler

400 Bad Request
401 Unauthorized
402 Payment Required
403 Forbidden
404 Not Found
405 Method Not Allowed
406 Not Acceptable
407 Proxy Authentication Required
408 Request Timeout
409 Conflict
410 Gone
411 Length Required
412 Precondition Failed
413 Payload Too Large
414 Request-URI Too Long
415 Unsupported Media Type
416 Requested Range Not Satisfiable
417 Expectation Failed
418 I’m a teapot
421 Misdirected Request
422 Unprocessable Entity
423 Locked
424 Failed Dependency
426 Upgrade Required
428 Precondition Required
429 Too Many Requests
431 Request Header Fields Too Large
444 Connection Closed Without Response
451 Unavailable For Legal Reasons
499 Client Closed Request

5 × x Serverfehler

500 Internal Server Error
501 Not Implemented
502 Bad Gateway
503 Service Unavailable
504 Gateway Timeout
505 HTTP Version Not Supported
506 Variant Also Negotiates
507 Insufficient Storage
508 Loop Detected
510 Not Extended
511 Network Authentication Required
599 Network Connect Timeout Error