400 是 OAuth 验证错误 (http) 的适当错误代码吗？

Question

大家好：对于虽然格式正确但包含无效 oauth 令牌的请求，正确的 http 响应代码应该是什么？

错误代码 400 似乎具有误导性，因为我相信无效的 oauth 不是格式错误的请求。

奇怪的是，如果 400 响应代码，facebook oauth 令牌（如果无效）会在返回结果中导致 api 返回结果......

Answer 1

来自http://oauth.net/core/1.0a/#http_codes

HTTP 400 Bad Request
    Unsupported parameter
    Unsupported signature method
    Missing required parameter
    Duplicated OAuth Protocol Parameter
HTTP 401 Unauthorized
    Invalid Consumer Key
    Invalid / expired Token
    Invalid signature
    Invalid / used nonce

所以 401 是对的。

Answer 2

正确。

401 Unauthorized 应该是您示例中响应状态代码的主要选择。

编辑：

我花了一些时间浏览 OAuth2 草案，看起来他们在客户端身份验证失败时指定了以下内容：

• 通常必须回复 400 Bad Request，但是
• 可以回复401 Unauthorized，并且
• 如果尝试使用Authorization 请求标头进行身份验证，则必须以401 Unauthorized 响应。如果是这样，它还必须在响应中包含WWW-Authenticate。