如何区分无效token和rest中的权限不足

Question

响应的标准方法是什么，以便客户端可以区分他们的令牌是无效/撤销还是他们只是试图访问他们没有授权的某些资源？两者都使用401吗？我应该使用自定义正文吗？

Answer 1

拥有无效或撤销的令牌与没有令牌基本相同。这通常用HTTP 401 Unauthorized status code 表示。这意味着，我们无法确定您是谁。 （未经授权的应该真的是未经身份验证的）

HTTP 403 Forbidden 响应意味着，我们知道您是谁（您已通过身份验证），但您无权访问所请求的资源。