401 Unauthorized — личность не установлена: нет токена или он неверный. 403 Forbidden — личность известна, но прав нет. 404 Not Found — ресурс не найден.
А ещё Название 401 историческое: по смыслу это «unauthenticated»
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
401 — запрос без учётных данных или с недействительными (просроченный токен). Сервер говорит: «я не знаю, кто вы». В ответе — WWW-Authenticate со схемой (Bearer). Клиент обновляет токен или отправляет пользователя на вход.
403 — пользователь известен, но действие ему запрещено: обычный пользователь открывает /admin. Повторный вход не поможет.
404 — ресурса по этому адресу нет.
Чужие ресурсы. GET /orders/1002 от пользователя, которому заказ не принадлежит. Ответ 403 подтверждает, что заказ существует, — утечка информации (перебором можно узнать число заказов, существование аккаунтов). Поэтому для ресурсов, которые не должны быть видны, отвечают 404, как будто их нет. Так делает GitHub для приватных репозиториев.
В Spring Security: неаутентифицированный запрос — AuthenticationEntryPoint → 401 (или редирект на форму входа); нет прав — AccessDeniedHandler → 403. Проверку владения удобно делать выборкой findByIdAndOwnerId — для чужого заказа она ничего не находит, и естественно получается 404.
Смежные коды: 400 — неверный запрос, 409 — конфликт состояния, 422 — бизнес-валидация, 429 — превышен лимит.
Один верный вариант. Подумайте, потом откройте ответ.
Конвейер обработки запроса, @Controller против @RestController, маппинги, извлечение данных и контроль ответа.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto