403 Forbidden と 401 Unauthorized HTTP レスポンスの違いを理解する

401 Unauthorized と 403 Forbidden を区別するバックエンド スクリプト

Express Framework を使用した Node.js

const express = require('express');const app = express();const port = 3000;// Middleware to check authenticationfunction checkAuth(req, res, next) {  if (!req.headers.authorization) {    return res.status(401).send('401 Unauthorized: Authentication required');  }  next();}// Middleware to check user permissionsfunction checkPermission(req, res, next) {  const userRole = req.headers['x-user-role'];  if (userRole !== 'admin') {    return res.status(403).send('403 Forbidden: Access denied');  }  next();}// Route with both authentication and permission checksapp.get('/secure-data', checkAuth, checkPermission, (req, res) => {  res.send('This is secure data accessible only to admin users.');});app.listen(port, () => {  console.log(`Server running at http://localhost:${port}`);});

HTTP 応答コードを処理するフロントエンド スクリプト

API を取得するための JavaScript

async function fetchData() {  try {    const response = await fetch('http://localhost:3000/secure-data', {      method: 'GET',      headers: {        'Authorization': 'Bearer token',        'x-user-role': 'user'      }    });    if (response.status === 401) {      console.error('Error 401: Unauthorized');      alert('You must log in to access this resource.');    } else if (response.status === 403) {      console.error('Error 403: Forbidden');      alert('You do not have permission to access this resource.');    } else {      const data = await response.json();      console.log(data);    }  } catch (error) {    console.error('Fetch error:', error);  }}fetchData();

HTTP ステータス コード 401 および 403 に関する一般的な質問と回答

1. 401 Unauthorized 応答とは何ですか?
2. 401 Unauthorized 応答は、要求された応答を取得するにはクライアント自身を認証する必要があることを示します。
3. 403 Forbidden 応答とは何ですか?
4. 403 Forbidden 応答は、クライアントが認証されていても、コンテンツへのアクセス権がないことを意味します。
5. 401 Unauthorized を使用する必要があるのはどのような場合ですか?
6. リクエストに有効な認証資格情報が不足している場合は、401 Unauthorized を使用します。
7. 403 Forbidden を使用する必要があるのはどのような場合ですか?
8. クライアントが認証されているが、リソースへのアクセスが許可されていない場合は、403 Forbidden を使用します。
9. 401 応答に WWW-Authenticate ヘッダーを含めることはできますか?
10. はい、401 応答には、クライアントに認証方法を案内するための WWW-Authenticate ヘッダーが含まれることがよくあります。
11. 403 応答でアクセス方法に関するガイダンスを提供することは可能ですか?
12. 通常、403 応答は、権限が不十分なためにアクセスを拒否するだけであるため、ガイダンスは提供されません。
13. 認可のためにスクリプト内でどのヘッダーがチェックされますか?
14. スクリプトは以下をチェックします req.headers.authorization 承認用のヘッダー。
15. カスタムヘッダーは権限チェックにおいてどのような役割を果たしますか?
16. カスタムヘッダー req.headers['x-user-role'] ユーザーの役割を決定し、権限を検証するために使用されます。
17. ログインしているが管理者専用ページにアクセスしようとしたユーザーにはどのようなステータス コードが返される必要がありますか?
18. 403 Forbidden ステータス コードが返されるはずです。