HTTP Status 401과 403의 차이 🪐

401 Unauthorized

요청된 리소스에 대해 클라이언트의 유효한 인증 자격 증명이 없어 클라이언트 요청이 완료되지 않았음을 의미하는 상태값이다. (Ex. 로그인하지 않은 상태로 내 정보를 요구하는 경우)

서버는 리소스를 요청한 클라이언트가 누구인지 알 수 없어 인증 자격 증명을 요구한다.

1. 최초의 401 응답인 경우,
   • HTTP 인증(BASIC 인증 , DIGEST 인증) 정보가 필요하다는 메세지를 나타내고 클라이언트 요청을 반려한다.
   • 보안 영역(realm) 정보 등의 인증 체계에 따른 challenge를 포함한 ‘WWW-Authenticate’ 응답 헤더를 포함하도록 한다.
   • 예시

     HTTP/1.1 401 Unauthorized
     Date: ...
     WWW-Authenticate: Basic realm="localhost"

2. 클라이언트가 자격 증명과 ‘Authorization’ 요청 헤더를 포함해 인증 시도한 후의 401 응답인 경우,
   • 인증에 실패했음을 표시한다.

403 Forbidden

서버에 요청이 전달되었지만, 권한이 없어 클라이언트 요청이 거절됨을 의미하는 상태값이다. (Ex. 일반 이용자로 로그인하고 관리자 페이지에 접속하려는 경우)

401 Unauthorized와 비슷하지만, 재인증을 하더라도 권한에 변함이 없기에 지속적으로 접속을 거절한다. 또한, 403 Forbidden은 거부의 이유(IP 차단 등)를 명확히 바디에 기재해 보낼수도, 혹은 오류 사유를 아예 포함하지 않을수도 있다.

결론 ✨

• 401 Unauthorized - “나는 당신이 누군지 인식할 수 없습니다.”

• 403 Forbidden - “나는 당신이 누구인지 알지만 당신의 접근을 허용하지 않습니다.”