Обслуживание формы входа через 401 Несанкционированный

Question

Предположим, что неаутентифицированный пользователь пытается получить страницу, которую могут видеть только авторизованные пользователи: / profile / предпочтения

Это обычная практика - ответить 401 Unauthorized вместе с содержимым страницы входа илилучше ли обслуживать 302 Найдено редиректом на страницу входа в систему и затем отправить пользователя обратно в / профиль / настройки?

Каковы преимущества и недостатки каждого метода?Можете ли вы привести примеры сайтов, используя первый метод?

Answer 1

Если вы говорите о «странице входа», вы используете проверку подлинности с помощью форм.Обслуживание 401 имеет смысл, только если необходимо выполнить аутентификацию на уровне HTTP (например, с использованием basic-auth или digest-auth), потому что ответ 401 должен включать заголовок WWW-Authenticate: с требованием, чтобы браузер ответил.

Кроме того, если вы выполняете авторизацию форм, вы почти наверняка не хотите обслуживать 301 - ваши пользователи никогда не смогут пройти через экран входа в систему.:-) 301 для постоянных ходов.Для чего-то вроде перенаправления для проверки подлинности форм вы должны использовать 302.