| 401 | 认证问题：缺凭证/凭证无效/过期；响应必须带 WWW-Authenticate |
|---|---|
| 403 | 授权问题：凭证有效但被拒绝；不应再要求认证 |
| 常见混淆 | 把 403 写成 401 会导致客户端无限重登 |
判断流程
| 现象 | 判定 | 处理方向 |
|---|---|---|
| 无 Token 访问受保护接口 | 401 | 客户端跳登录/刷新 Token |
| Token 有效但角色不足 | 403 | 联系管理员授权；检查权限模型 |
| Token 有效且权限正常仍 403 | 403 | 检查 IP 白名单/WAF/地域策略 |
| 过期 Token 访问 | 401 | 刷新或重新登录 |
验证你的接口行为
验证你的接口行为
curl -si -H 'Authorization: Bearer INVALID' https://api.example.com/me # 期望 401
curl -si -H 'Authorization: Bearer 有效但无权限' https://api.example.com/admin # 期望 403