HTTP 401未经授权时不使用HTTP基本Auth？

Question

当构建一个不使用HTTP基本身份验证（但是像api-key这样的其他东西）并且客户机提供无效凭据的REST API时，您应该返回什么HTTP状态代码？401未经授权还是403禁止？

IANA HTTP状态代码注册表将RFC7235第3.1节列为“401未经授权”的责任人，其中指出：

HTTP 401响应必须始终包含一个WWW-Authenticate标头，该标头指示客户端如何进行身份验证。HTTP 403响应不包括www-authenticate标头。

将使用的响应类型取决于身份验证方案。

而理查森似乎不同意：

401（“未经授权”）
重要性：高。
客户端试图在未提供正确身份验证凭据的情况下对受保护的资源进行操作。它可能提供了错误的凭据，或者根本没有。凭据可以是用户名和密码、API密钥或身份验证令牌--无论有问题的服务期望什么。对于客户机来说，请求URI并接受401是很常见的，这样它就知道要发送什么样的凭据以及以什么样的格式发送凭据。[...]

Answer 1

您假设www-authenticate值需要是basic值。您可以返回一个不同的值，如“api-key”，作为需要执行的auth类型。因此，可以使用其他值返回401和www-authenticate header。您甚至可以返回具有不同值的多个标头，指示应用程序支持的不同类型的身份验证。