Web API 应该返回 403 Forbidden 还是根本没有端点？

Question

我有一个 Web API，对于一个模型，我只允许通过 id [GET] api/models/{modelId} 或更新 [PUT] api/models/{modelId} 获取。 API 不支持POST、DELETE 或获取集合（[GET] api/models）。

还应该在Controller 中有这些方法并返回Forbid() 403 状态吗？

或者我应该简单地删除这些方法？

Answer 1

HTTP response status codes 的完整列表可以帮助您确定最合适的响应。

403 Forbidden 不符合您描述的情况：

客户端没有内容的访问权限；也就是说，它是未经授权的，因此服务器拒绝提供所请求的资源。与 401 不同，客户端的身份是服务器知道的。

另一方面，405 Method Not Allowed 似乎适合这种情况：

请求方法为服务器所知，但已被禁用，无法使用。例如，API 可能禁止删除资源。 GET 和 HEAD 这两个强制方法绝不能被禁用，并且不应返回此错误代码。

Note:

服务器必须在 405 响应中生成一个 Allow 标头字段，其中包含目标资源当前支持的方法列表。