POST Restful API 的响应代码 400 或 403

Question

我正在设计一个 POST Restful API，在这种情况下，我必须根据请求正文中提供的元素之一授权用户。 例如。

{
division : "1",
name : "MyName",
address:{
no : 123,
street : "abc",
pincode : 222111
}
....
}

所以发出 POST 请求的用户应该被授权在第 1 部门工作。我无法在没有获取请求正文的情况下授权用户。

还要验证一些属性，我必须在 DB 中进行大量的 DB 调用，例如，检查上述地址是否具有有效的 pincode 值。

所以我的问题是我应该如何将错误代码返回给用户 -

1. [编辑]如果请求中的除法无效（系统中不存在的东西） - 400 或 403？
2. 如果提供了划分，但用户未经授权且密码无效 - 400 表示无效密码或 403？
3. 如果 pincode 是必需属性且请求中未提供，则错误代码应该是什么。我应该先检查 403 再检查 400 还是反过来？

基本上哪个错误代码继续另一个？

也可以这样做：

400 – request is bad, syntactically (division/pincode or other mandatory values not provided)
403 – authorize user
400 – request is bad, data specific validation (heavier operation, requiring to hit DB)

[编辑] 我们不希望使用 422 错误代码

Answer 1

如有疑问，请查看RFC

400 错误请求

由于格式错误，服务器无法理解请求 句法。客户端不应该重复请求 修改。

---

403 禁止

服务器理解请求，但拒绝执行。 授权将无济于事，并且不应重复请求。如果 请求方法不是 HEAD 并且服务器希望公开 为什么请求没有被满足，它应该描述原因 对于实体的拒绝。如果服务器不想让 此信息可供客户端使用，状态码 404（不 Found) 可以代替。

如果请求中没有提供分割 - 400 或 403？

我认为两者都不适用。语法 - 尽管它缺少一些数据 - 不是格式错误。
由于上述引用中提到的原因，403 似乎也不正确：授权无济于事等。

422 Unprocessable Entity怎么样？

422 无法处理的实体（WebDAV；RFC 4918）

请求格式正确，但由于以下原因无法执行 语义错误。

这是我通常在这种情况下使用的。

如果提供了划分，但用户未经授权且密码无效 - 400 表示无效密码或 403？

同样，我认为 400 或 403 在这里都不是一个好案例。专门针对这种情况，存在401

401 未经授权

类似于 403 Forbidden，但 专门用于身份验证时 是必需的，但已失败或尚未提供。响应 必须包含一个包含挑战的 WWW-Authenticate 标头字段 适用于请求的资源。请参阅基本访问身份验证 和摘要访问身份验证。

Answer 2

我认为你在正确的轨道上。假设每个请求都通过（http 授权标头）进行身份验证

1. 返回 400，丢失数据是可以的，此外，您可以添加错误响应正文，解释客户端请求不被接受的原因（在本例中为丢失的部门）。

   李>

2. 返回 403，如果发出请求的客户端无权与资源交互（在本例中为部门），则返回 403。

3. 您必须先验证客户端是否有权与资源进行交互，因此必须先发送 403，如果缺少必填字段，您可以将其视为 400（有适当的解释）。

如果客户端未通过身份验证，正确的响应应该是 401，但正如我之前所说，我的响应中的 1) 和 2) 是假设客户端已针对服务器进行身份验证。

希望对你有帮助，

何塞·路易斯