Проєктування API · Middle · Запитання 12 з 75
Повертати 403 чи 404, коли користувач запитує приватний ресурс іншого користувача?
- 1Завжди 200 з порожніми даними
- 2Завжди 500
- ✓Правильна відповідь: Часто 404, щоб API не розкривав існування ресурсу; 403 годиться, коли існування не чутливе
Пояснення
У будь-якому разі сервер має перевіряти власника при кожному запиті; коди статусу не замінюють авторизацію.