http状态码——401和403差异

状态码	状态码英文名称	中文描述
401	Unauthorized	该HTTP状态码表示认证错误，它是为了认证设计的，而不是为了授权设计的。收到401响应，表示请求没有被认证—压根没有认证或者认证不正确—但是请重新认证和重试。（一般在响应头部包含一个WWW-Authenticate来描述如何认证）。通常由web服务器返回，而不是web应用。从性质上来说是临时的东西。（服务器要求客户端重试）
403	Forbidden	该HTTP状态码是关于授权方面的。从性质上来说是永久的东西，和应用的业务逻辑相关联。它比401更具体，更实际。收到403响应表示服务器完成认证过程，但是客户端请求没有权限去访问要求的资源。

总之：

• 401 Unauthorized响应 应该用来表示缺失或错误的认证；
• 403 Forbidden响应 应该在这之后用，当用户被认证后，但用户没有被授权在特定资源上执行操作。

参考

• HTTP状态码决策图–信息图