使用错误凭据的Django登录返回200而不是401

Question

这是一个非常简单的测试，但我似乎无法正确完成。

我想检查哪些用户可以登录并执行操作（这是一整套测试的一部分），但是第一步会引起一些问题。

class SuperUserTest(TestCase):
    def setUp(self):
        self.client = Client()
        self.su = User.objects.create_superuser('super','','the_correct_password')
    def test_su_can_login(self):
        response = self.client.post(reverse('django.contrib.auth.views.login'),
            {'username': 'super', 'password': 'the_wrong_password'})
        self.assertEqual(response.status_code,401)

        # Success redirects to the homepage, so its 302 not 200
        response = self.client.post(reverse('django.contrib.auth.views.login'),
            {'username': 'super', 'password': 'the_correct_password'})
        self.assertEqual(response.status_code,302)

当我运行测试时，我得到：

(my_app)00:20 ~/my_app (master)$ ./manage.py test my_app.SuperUserTest
Creating test database for alias 'default'...
F
======================================================================
FAIL: test_su_can_login (my_app.SuperUserTest)
----------------------------------------------------------------------
Traceback (most recent call last):
  File "./my_app/tests.py", line 341, in test_su_can_login
    self.assertEqual(response.status_code,401)
AssertionError: 200 != 401

----------------------------------------------------------------------
Ran 1 test in 1.180s

FAILED (failures=1)
Destroying test database for alias 'default'...

为什么200我不正确登录时django返回HTTP代码？

对于其他上下文，这是我如何管理登录/注销URL：

urlpatterns = patterns('',
    # Examples:
    url(r'^accounts/login/?$', 'django.contrib.auth.views.login'),
    url(r'^accounts/logout/?$', 'django.contrib.auth.views.logout',
        {'next_page': '/'}),

Answer 1

Web社区中有一些关于对凭证失败的正确响应的辩论。例如，这是有关从切换到的Wordpress凭单。在Stack
Overflow上，您可以找到一些建议和一些建议。200``401``401

Django选择返回一个200响应以及重新渲染的表单。

我认为这是正确的方法。一个401或403响应表明用户无权访问该资源（URL）。但是在这种情况下，资源是登录点，并且您 不需要
凭据即可访问该资源。根据定义，它对所有用户可用。因此，从本质上讲，这种情况与任何其他表单验证没有区别-
服务器正在检查发送的输入，如果输入无效，它将返回200响应以及表单和错误消息。