HTTP 401 बनाम 403: अंतर क्या है?
स्क्रैपलेस यूनिवर्सल स्क्रेपिंग API प्रबंधित वेब अनलॉकर के माध्यम से सार्वजनिक वेब सामग्री पुनर्प्राप्त करता है जबकि प्रमाणीकरण, अनुमति, और पहुंच नियंत्रण का सम्मान रखने की आवश्यकता को बनाए रखता है।
TL;DR
- HTTP 401 बनाम 403: अंतर क्या है, एक सटीक तकनीकी सीमा है। एक सरल निर्णय परीक्षण है: क्या एक वैध या नवीनीकृत पहचान क्रेडेंशियल परिणाम बदल सकता है? यदि हाँ, तो 401 सामान्य विकल्प है। यदि सर्वर पहले से पहचान को मान्यता देता है और नीति फिर भी संचालन को अस्वीकृत करती है, तो 403 परिणाम को अधिक सटीक रूप से संप्रेषित करता है। एक सर्वर सीमित सुरक्षा डिज़ाइन में 404 का भी उपयोग कर सकता है ताकि संसाधन मौजूद होने की जानकारी का खुलासा न हो, लेकिन वह विकल्प जानबूझकर और सुसंगत होना चाहिए।
- कोई क्रेडेंशियल नहीं भेजा गया सामान्य कारण है। एक सुरक्षित API मार्ग कोई सत्र कुकी, अनुमति हेडर, या ग्राहक प्रमाणपत्र प्राप्त नहीं करता है, इसलिए सर्वर एक प्रमाणित प्रधान नहीं स्थापित कर सकता और 401 लौटाता है।
- सुरक्षा सीमा सुरक्षित अगले कदम को बदलती है। 403 पहचान के अंगूठे के निशान, नेटवर्क पते, या अनुरोध हेडर को बदलने के लिए संकेत नहीं है जब तक नीति Yield नहीं होती; यह एक अनुमति अस्वीकृति है जिसे सम्मानित किया जाना चाहिए।
- 401 के लिए, घोषित प्रमाणीकरण योजना का पालन करें। केवल अधिकृत पहचान प्रवाह के माध्यम से वैध क्रेडेंशियल प्राप्त करें या नवीनीकरण करें।
- पब्लिक-वेब डेटा संग्रह में 401 और 403 को स्पष्ट वर्गीकरण की आवश्यकता होती है। केवल सार्वजनिक या उचित रूप से अधिकृत डेटा एकत्र करें, अनुरोध वॉल्यूम को न्यूनतम करें, और संकेतों, लॉगों और रिपॉजिटरी से रहस्यों की सुरक्षा करें। सही स्थिति प्रबंधन विश्वसनीयता में सुधार करता है क्योंकि यह सुरक्षा निर्णय को अस्पष्ट करने के बजाय संरक्षित करता है।
एक कोड पहचान के लिए पूछता है; दूसरा अनुमति अस्वीकृत करता है।
HTTP 401 और 403 दोनों ग्राहक-त्रुटि प्रतिक्रियाएं हैं, लेकिन वे अलग-अलग सुरक्षा निर्णयों का वर्णन करते हैं। 401 कहता है कि अनुरोध लक्षित संसाधन के लिए मान्य प्रमाणीकरण क्रेडेंशियल की कमी है। 403 कहता है कि सर्वर ने अनुरोध को समझा और इसे अधिकृत करने से इनकार कर दिया। इन्हें मिलाना ग्राहकों को गलत अगला कदम चुनने के लिए प्रेरित करता है और सुरक्षा लॉग को व्याख्या करना कठिन बनाता है।
नाम भ्रम पैदा करते हैं। 401 के लिए मानक वाक्यांश अनधिकृत है, फिर भी इसका व्यावहारिक अर्थ असत्यापित के करीब है। ग्राहक ने कोई क्रेडेंशियल नहीं भेजा हो सकता है, एक समाप्त क्रेडेंशियल, गलत दर्शक के लिए एक क्रेडेंशियल, या एक क्रेडेंशियल जो सर्वर मान्यता नहीं दे सकता है। 403 सामान्यतः यह बताता है कि प्रमाणीकरण वर्तमान पहचान और नीति के तहत अनुरोधित संचालन प्रदान नहीं करेगा।
सार्जन्य-Web डेटा कार्य के लिए, किसी भी स्थिति को हराने के लिए पहेली के रूप में नहीं माना जाना चाहिए। एक संग्राहक अपने स्वयं के लापता क्रेडेंशियल को ठीक कर सकता है जब उसे एक का उपयोग करने के लिए अधिकृत किया जाता है, लेकिन इसे अनुमति निर्णय को आने के लिए काम नहीं करना चाहिए। प्रतिक्रिया को वर्गीकृत, दर्ज और पहचान या पहुंच नीति के मालिक के पास भेजा जाना चाहिए।
HTTP 401 बनाम 403 के लिए प्रत्यक्ष नियम
जब अनुरोध संसाधन के लिए मान्य प्रमाणीकरण क्रेडेंशियल की कमी है, तो 401 का उपयोग करें, और जब सर्वर अनुरोध को अधिकृत करने से इनकार करता है, तो 403 का उपयोग करें। HTTP सिमैंटिक्स मानक दोनों प्रतिक्रियाओं को परिभाषित करता है और 401 प्रतिक्रिया को लक्षित संसाधन के लिए लागू प्रमाणीकरण चुनौती शामिल करने की आवश्यकता होनी चाहिए।
एक सरल निर्णय परीक्षण है: क्या एक वैध या नवीनीकृत पहचान क्रेडेंशियल परिणाम बदल सकता है? यदि हां, तो 401 सामान्य विकल्प है। यदि सर्वर पहले से पहचान को मानता है और नीति फिर भी संचालन को अस्वीकृत करती है, तो 403 परिणाम को अधिक सटीक रूप से व्यक्त करता है। एक सर्वर सीमित सुरक्षा डिज़ाइन में 404 का भी उपयोग कर सकता है ताकि यह न बताएं कि एक संसाधन मौजूद है, लेकिन वह विकल्प जानबूझकर और सुसंगत होना चाहिए।
कैसे प्रमाणीकरण और अनुमति विभिन्न निर्णयों तक पहुंचते हैं
प्रमाणीकरण यह स्थापित करता है कि कॉलर कौन या क्या है। यह एक सत्र कुकी, API क्रेडेंशियल, ग्राहक प्रमाणपत्र, या अन्य स्वीकृत प्रमाण को मान्य करता है और अनुरोध को एक पहचान से जोड़ता है। इस स्तर पर विफलता सर्वर को संचालन के लिए एक वैध प्रमाणीकरण प्रधान के बिना छोड़ देती है।
अनुमति यह मूल्यांकन करती है कि वह पहचान क्या कर सकती है। नीति भूमिका, स्वामित्व, किरायेदार, संसाधन की स्थिति, नेटवर्क क्षेत्र, समय, या अन्य सत्यापित विशेषताओं पर निर्भर कर सकती है। एक कॉलर पूरी तरह से प्रमाणित हो सकता है और फिर भी एक रिकॉर्ड पढ़ने, एक विधि को लागू करने, या एक प्रशासनिक क्षेत्र में प्रवेश करने की अनुमति नहीं हो सकती है।
ग्राहक अनुभव को स्तर के साथ मेल खाना चाहिए। 401 प्रतिक्रिया एक लॉगिन प्रवाह या अधिकृत अनुप्रयोग में क्रेडेंशियल नवीनीकरण को प्रेरित कर सकती है। 403 को संवेदनशील नीति विवरणों को उजागर किए बिना अस्वीकृत क्षमता की व्याख्या करनी चाहिए। वास्तविक 403 के बाद लॉगिन को दोहराना केवल वही निर्णय को फिर से बनाए रखता है।
| दिशा | संकेत A | संकेत B |
|---|---|---|
| पहचान स्थिति | गायब, अमान्य, या समाप्त | ज्ञात और स्वीकृत |
| नीति निर्णय | एक वैध प्रधान के साथ नहीं पहुँचा गया | पहुंचा गया और अस्वीकृत |
| सामान्य कोड | 401 अनधिकृत | 403 निषिद्ध |
| उपयोगी ग्राहक कार्रवाई | वैध क्रेडेंशियल प्राप्त करें | अनुमति मांगें या एक अनुमति दी गई कार्यविधि का चयन करें |
प्रत्येक स्थिति के प्रकट होने के सामान्य कारण
आवेदन को बदलने से पहले क्रेडेंशियल और नीति स्थिति का वर्गीकरण अनायास लूप और असुरक्षित वर्कअराउंड को रोकता है।
कोई क्रेडेंशियल नहीं भेजा गया
एक सुरक्षित API मार्ग कोई सत्र कुकी, अनुमति हेडर, या ग्राहक प्रमाणपत्र प्राप्त नहीं करता है, इसलिए सर्वर एक प्रमाणित प्रधान स्थापित नहीं कर सकता और 401 लौटाता है।
क्रेडेंशियल मान्यता विफल
हस्ताक्षर, जारीकर्ता, श्रोता, समाप्ति, या सत्र राज्य अमान्य हो सकता है। प्रस्तुत प्रमाण स्वीकार्य पहचान स्थापित नहीं करता है, इसलिए प्रतिक्रिया 401 रहती है।
प्रमाणित पहचान में कोई भूमिका नहीं है
खाता प्रमाणित है लेकिन संचालन के लिए आवश्यक प्रशासक, संपादक, बिलिंग या संसाधन विशेष भूमिका नहीं रखता, इसलिए 403 उपयुक्त है।
संसाधन स्वामित्व मेल नहीं खाता
एक उपयोगकर्ता अपने स्वयं के रिकॉर्ड को पढ़ सकता है लेकिन किसी अन्य टेनेट के रिकॉर्ड को नहीं। प्रमाणिकता सफल होती है, फिर वस्तु-स्तरीय प्राधिकरण 403 या जानबूझकर 404 नीति के साथ पहुँच से इनकार करता है।
विधि या राज्य प्रतिबंधित है
एक भूमिका एक संसाधन को पढ़ सकती है लेकिन उसे हटा नहीं सकती, या एक संचालन को उस समय निष्क्रिय किया जा सकता है जब संसाधन लॉक के राज्य तक पहुँच जाए। अस्वीकार की गई क्षमता एक प्राधिकरण निर्णय है।
नेटवर्क या एप्लिकेशन नीति पहुँच से इनकार करती है
एक प्रमाणित कॉलर अभी भी एक अनुमोदित नेटवर्क क्षेत्र के बाहर हो सकता है या किसी अन्य पहुँच नीति स्थिति को असफल कर सकता है। नीति के स्वामी को यह सुनिश्चित करना चाहिए कि 403 या एक कम प्रकट करने वाली प्रतिक्रिया उपयुक्त है।
अनुमति पथ से पहले पहचान पथ का निदान करें
जांच को पहले क्रेडेंशियल स्वीकृति साबित करनी चाहिए, फिर अनुरोधित संसाधन और विधि के लिए सटीक नीति निर्णय का मूल्यांकन करना चाहिए।
- कोड और चुनौती को कैप्चर करें। 401 पर, प्रमाणीकरण चुनौती की जांच करें और संसाधन द्वारा अपेक्षित योजना की पुष्टि करें बिना गुप्त डेटा लॉग किए।
- क्रेडेंशियल उपस्थिति को सुरक्षित रूप से पुष्टि करें। यह रिकॉर्ड करें कि एक क्रेडेंशियल प्रकार भेजा गया था, इसके जारीकर्ता और दर्शक मेटाडेटा जब सुरक्षित हो, और मूल्यांकन परिणाम; कभी भी गुप्त को टिकटों या लॉग में न कॉपी करें।
- समय और सत्र राज्य की जांच करें। समाप्त सत्र, रद्द किए गए क्रेडेंशियल, और घड़ी की गलतियाँ प्रमाणिकता का हिस्सा होती हैं और सामान्यतः 401 की ओर ले जाती हैं।
- अधिकृत प्रमुख का समाधान करें। खाते, सेवा पहचान, टेनेट, और प्रभावी भूमिकाओं की पुष्टि करें जिन्हें सर्वर ने वास्तव में पहचाना।
- सटीक अनुमति का मूल्यांकन करें। संसाधन स्वामित्व, अनुरोधित विधि, भूमिका, नीति स्थितियों, और संसाधन राज्य की जांच करें बजाय यह पूछने के कि क्या उपयोगकर्ता सामान्य रूप से एप्लिकेशन तक पहुँच सकता है।
- एक अनुमत नियंत्रण की तुलना करें। एक कार्य जो उसी पहचान के लिए अनुमत है, प्रमाणिकता की पुष्टि करता है और समस्या को अस्वीकृत क्रिया पर सीमित करता है।
- प्रकट नीति की समीक्षा करें। निर्णय लें कि एक अनुपस्थित या निषिद्ध निजी संसाधन को 403 या एक एकसमान 404 वापस करना चाहिए, फिर उस नियम को लगातार लागू करें ताकि जानकारी के लीक से बचा जा सके।
यह अंतर स्पष्ट रूप से कहा गया है HTTP अर्थशास्त्र और MDN का 401 संदर्भ, जबकि MDN का 403 संदर्भ निषिद्ध प्रतिक्रियाओं के लिए सहायक संदर्भ प्रदान करता है।
API क्लाइंट को क्या करना चाहिए
एक क्लाइंट को सर्वर की बताई गई पहचान या अनुमति समस्या का उत्तर देना चाहिए, न कि संबंधित अनुरोध भिन्नताओं के माध्यम से चक्र बनाना।
- 401 के लिए, घोषित प्रमाणीकरण योजना का पालन करें। केवल अधिकृत पहचान प्रवाह के माध्यम से वैध क्रेडेंशियल प्राप्त करें या नवीनीकरण करें।
- 403 के लिए, अस्वीकार किए गए संचालन को रोकें। जब व्यावसायिक उद्देश्य वैध हो तो संसाधन मालिक या प्रशासक से आवश्यक अनुमति के लिए पूछें।
- निदान के दौरान क्रेडेंशियल का संरक्षण करें। अनुरोध आईडी और मान्यता मेटाडेटा साझा करें, कभी भी कुकीज़, पासवर्ड, निजी कुंजी, या पूर्ण बेयर मान साझा न करें।
- 403 को बॉट-डिटेक्शन खेल के रूप में न मानें। पहुँच नीति और साइट की शर्तें अभी भी स्वचालित ग्राहकों और डेटा संग्रह पर लागू होती हैं।
API डिज़ाइनरों को 401 और 403 कैसे लौटाना चाहिए
सर्वर का व्यवहार अगली सुरक्षित क्लाइंट कार्रवाई को स्पष्ट रूप से बनाना चाहिए जबकि संवेदनशील नीति के खुलासे को न्यूनतम करना चाहिए।
जब क्रेडेंशियल अनुपस्थित या अमान्य हों, तो उचित प्रमाणीकरण चुनौती के साथ 401 वापस करें। त्रुटि विवरण को उपयोगी रखें ताकि योजना और व्यापक मूल्यांकन वर्ग की पहचान हो सके, लेकिन हस्ताक्षर कुंजी, कच्चे टोकन, या आंतरिक मूल्यांकन निशान उजागर करने से बचें।
जब एक मान्य प्रमुख ज्ञात हो और नीति क्रिया से इनकार करती है, तो 403 वापस करें। नीति नियम, प्रमुख, टेनेट, संसाधन, विधि, और सहसंबंध ID को सर्वर साइड पर लॉग करें। जब वह विवरण संवेदनशील पहुँच संरचना को उजागर करें, तो क्लाइंट संदेश संक्षेप में रह सकता है।
ऑब्जेक्ट-स्तरीय प्राधिकरण का परीक्षण करें, न कि केवल मार्ग-स्तरीय भूमिकाएँ। एक सामान्य पाठक भूमिका वाला उपयोगकर्ता अभी भी एक किरायेदार या स्वामित्व सीमा तक सीमित हो सकता है। डेटा सीमा पर निरंतर जांचें एक ऐसे मार्ग को रोकती हैं जो एक कोड पथ में 403 लौटाता है लेकिन दूसरे के माध्यम से वही रिकॉर्ड लीक करता है।
401 और 403 के लिए निर्णय मैट्रिक्स
सही स्थिति कॉल करने वाले के ज्ञान और अनुमति जांच के परिणाम का पालन करती है।
| केस | अर्थ | अनुशंसित प्रतिक्रिया |
|---|---|---|
| कोई प्रमाणीकरण नहीं | पहचान स्थापित नहीं है | प्रमाणीकरण चुनौती के साथ 401 |
| अमान्य या समाप्त प्रमाणीकरण | पहचान का सबूत स्वीकार नहीं किया गया है | 401 और अधिकृत पहचान प्रवाह शुरू करें |
| मान्य पहचान, अनुमति गायब है | पहचान ज्ञात है लेकिन संचालन अस्वीकृत है | 403 और संचालन बंद करें |
| नीतियों द्वारा छिपा हुआ निजी संसाधन | अस्तित्व का खुलासा नहीं किया जाना चाहिए | डिजाइन द्वारा निरंतर 404 चुना जा सकता है |
सार्वजनिक-वेब डेटा संग्रह में 401 और 403
एक संग्राहक का उपयोग करके स्क्रेपलेस यूनिवर्सल स्क्रैपिंग एपीआई को कंटेंट को पार्स करने से पहले एक्सेस परिणामों के रूप में 401 और 403 को वर्गीकृत करना चाहिए। प्रबंधित पुनर्प्राप्ति परत पृष्ठ सामग्री लौटा सकती है, लेकिन यह प्रमाणीकरण, अनुमतियों या लक्षित साइट के नियमों को प्रतिस्थापित नहीं करती है।
स्थिति, अंतिम यूआरएल, लक्ष्य होस्ट, अनुरोध आईडी, और प्रमाणपत्र मोड का एक सुरक्षित विवरण संग्रहीत करें। लॉगिन पृष्ठों और एक्सेस-इनकार पृष्ठों को निकाले गए रिकॉर्ड से बाहर रखें। यदि अधिकृत प्रमाणीकरण गायब है, तो कार्य को प्रमाणीकरण कॉन्फ़िगरेशन पर रूट करें; यदि नीति एक्सेस अस्वीकार करती है, तो उस लक्ष्य को बंद करें और डेटा मालिक को बढ़ाएँ।
केवल सार्वजनिक या उचित रूप से अधिकृत डेटा एकत्रित करें, अनुरोध मात्रा को न्यूनतम करें, और संकेतों, लॉग और रिपॉजिटरी से रहस्यों की रक्षा करें। स्थिति का सही प्रबंधन विश्वसनीयता में सुधार करता है, विशेष रूप से क्योंकि यह सुरक्षा निर्णय को सुरक्षित रखता है, न कि उसे अस्पष्ट करता है।
सुरक्षा निर्णय से मेल खाने वाला कोड का उपयोग करें
HTTP 401 का अर्थ है वैध प्रमाणीकरण अनुपस्थित है; HTTP 403 का अर्थ है प्राधिकरण अस्वीकृत है। शब्दों को भ्रामक होना आसान है, लेकिन संचालन का नियम स्थिर है: पहले पहचान प्राप्त करें, फिर अनुमति का मूल्यांकन करें।
क्लाइंट को 401 के बाद अनुमोदित प्रवाह के माध्यम से प्रमाणीकरण करना चाहिए और 403 के बाद रोकना या एक्सेस का अनुरोध करना चाहिए। सर्वर को पूरी निर्णय को सुरक्षित रूप से लॉग करना चाहिए, एक स्थिर सार्वजनिक प्रतिक्रिया लौटानी चाहिए, और अनुमति विफलताओं को अस्पष्ट एप्लिकेशन त्रुटियों में बदलने से बचना चाहिए।
क्या आप एक अधिक अवलोकनीय डेटा वर्कफ़्लो बनाने के लिए तैयार हैं?
अपने डेटासेट में एक पृष्ठ प्रवेश करने से पहले स्थिति, पहचान, रूटिंग और प्रस्तुत सामग्री के लिए स्पष्ट प्रमाणन नियमों का उपयोग करें।
आज ही साइन अप करें और प्राप्त करें $5 मुफ्त क्रेडिट — कोई क्रेडिट कार्ड आवश्यक नहीं है.
अपने $5 क्रेडिट का दावा करें →एफएक्यू
क्या 401 का मतलब है कि पासवर्ड गलत है?
एक 401 का मतलब हो सकता है कि पासवर्ड या अन्य प्रमाणीकरण गलत है, लेकिन इसका मतलब यह भी हो सकता है कि प्रमाणीकरण गायब, समाप्त, रद्द, किसी और दर्शक के लिए निर्धारित, या घोषित प्रमाणीकरण योजना के तहत अमान्य हैं।
क्या 403 का मतलब है कि उपयोगकर्ता लॉग इन है?
एक 403 सामान्यतः इस का अर्थ है कि सर्वर कॉल करने वाले को जानता है और अनुमति अस्वीकृत कर देता है, लेकिन तैनाती भी व्यापक नीति अस्वीकृतियों के लिए 403 का उपयोग कर सकती हैं। सर्वर लॉग को पहचाने गए प्रिंसिपल और सही प्राधिकरण नियम की पुष्टि करनी चाहिए।
क्या समाप्त टोकन 401 या 403 लौटाना चाहिए?
एक समाप्त टोकन सामान्यतः 401 लौटाता है क्योंकि यह अनुरोध के लिए वैध प्रमाणीकरण स्थापित नहीं करता है। ग्राहक तब वैध प्रमाणीकरण प्राप्त करने के लिए अनुमोदित पहचान प्रवाह का उपयोग कर सकता है।
क्या एक सर्वर 403 के बजाय 404 लौट सकता है?
एक सर्वर एक निजी संसाधन के लिए 404 लौट सकता है जब इसके अस्तित्व का खुलासा संवेदनशील जानकारी का खुलासा करेगा। नीति को जानबूझकर, प्रलेखित और तरीकों और एंडपॉइंट्स में लगातार लागू किया जाना चाहिए।
स्क्रैपर को 401 बनाम 403 को कैसे संभालना चाहिए?
एक स्क्रैपर को निकाले गए डेटा से दोनों प्रतिक्रियाओं को बाहर रखना चाहिए। यह 401 के बाद अधिकृत प्रमाणीकरण कॉन्फ़िगरेशन को सही कर सकता है, लेकिन इसे 403 के बाद रुकना चाहिए और लक्ष्य की अनुमति के निर्णय, शर्तों और लागू कानून का सम्मान करना चाहिए।