Hiểu 403 Bị cấm và 401 Phản hồi HTTP trái phép

Arthur Petit
14:21:33 Chủ Nhật, 30 tháng 6, 2024
JavaScript

Giải mã mã trạng thái HTTP: 403 so với 401

Trong lĩnh vực phát triển web, việc xác định phản hồi HTTP chính xác cho các vấn đề kiểm soát truy cập có thể là một thách thức. Cụ thể, khi người dùng gặp một trang web tồn tại nhưng thiếu các đặc quyền cần thiết để truy cập vào trang đó, việc lựa chọn giữa phản hồi 401 trái phép và 403 bị cấm trở nên quan trọng.

Bài viết này nhằm mục đích làm rõ sự khác biệt giữa hai mã trạng thái HTTP này và cung cấp hướng dẫn về cách sử dụng phù hợp. Bằng cách hiểu các kịch bản cho từng phản hồi, nhà phát triển có thể đảm bảo các biện pháp bảo mật và trải nghiệm người dùng phù hợp trên trang web của họ.

Yêu cầu Sự miêu tả
app.use(express.json()) Phần mềm trung gian để phân tích các yêu cầu JSON đến và đặt dữ liệu được phân tích cú pháp vào req.body.
res.status() Đặt mã trạng thái HTTP cho phản hồi.
req.headers.authorization Kiểm tra sự hiện diện của tiêu đề Ủy quyền trong yêu cầu.
req.user.role Kiểm tra vai trò của người dùng được xác thực, thường là sau khi thông tin người dùng được giải mã từ mã thông báo.
fetch('/admin', { method: 'GET' }) Thực hiện yêu cầu GET tới điểm cuối /admin.
.then(response =>.then(response => response.text()) Xử lý phản hồi bằng cách chuyển đổi nó thành văn bản.
Event Listener Thêm trình xử lý sự kiện vào một phần tử để xử lý các tương tác của người dùng.
response.status Kiểm tra mã trạng thái HTTP của phản hồi để xác định hành động thích hợp.

Giải thích về tập lệnh Node.js và JavaScript

Tập lệnh đầu tiên là triển khai phụ trợ bằng cách sử dụng Và . Nó bắt đầu bằng cách thiết lập một ứng dụng Express bằng lệnh và phân tích các yêu cầu JSON đến bằng app.use(express.json());. Chức năng phần mềm trung gian kiểm tra xem yêu cầu có chứa tiêu đề. Nếu không, nó sẽ gửi một phản hồi bằng cách sử dụng res.status(401).send('401 Unauthorized');. Nếu người dùng được xác thực, phần mềm trung gian tiếp theo, , kiểm tra xem người dùng có vai trò 'quản trị viên' hay không . Nếu không, một phản hồi được gửi bằng cách sử dụng res.status(403).send('403 Forbidden');. Cuối cùng, nếu cả hai điều kiện đều được đáp ứng thì trình xử lý tuyến đường gửi tin nhắn chào mừng đến khu vực quản trị.

Tập lệnh thứ hai là triển khai giao diện người dùng bằng cách sử dụng và . Trình xử lý sự kiện được thêm vào nút có , điều này gây ra một fetch yêu cầu tới điểm cuối '/admin'. Yêu cầu bao gồm một tiêu đề. Phản hồi sau đó được kiểm tra Và mã trạng thái sử dụng response.status. Thông báo cảnh báo phù hợp được hiển thị dựa trên trạng thái phản hồi. Nếu yêu cầu thành công, văn bản phản hồi sẽ được hiển thị trong phần tử có . Sự kết hợp giữa tập lệnh phụ trợ và giao diện người dùng này đảm bảo rằng chỉ những người dùng được xác thực và ủy quyền mới có thể truy cập vào khu vực quản trị được bảo vệ.

Phân biệt giữa 403 Bị cấm và 401 trái phép

Phần cuối: Node.js với Express

const express = require('express');
const app = express();
const port = 3000;
app.use(express.json());
// Middleware to check authentication
const isAuthenticated = (req, res, next) => {
  if (req.headers.authorization) {
    next();
  } else {
    res.status(401).send('401 Unauthorized');
  }
};
// Middleware to check authorization
const isAuthorized = (req, res, next) => {
  if (req.user && req.user.role === 'admin') {
    next();
  } else {
    res.status(403).send('403 Forbidden');
  }
};
app.get('/admin', isAuthenticated, isAuthorized, (req, res) => {
  res.send('Welcome to the admin area!');
});
app.listen(port, () => {
  console.log(`Server running at http://localhost:${port}`);
});

Quản lý trạng thái phản hồi HTTP

Giao diện người dùng: JavaScript với API tìm nạp

document.getElementById('fetchAdminData').addEventListener('click', () => {
  fetch('/admin', {
    method: 'GET',
    headers: {
      'Authorization': 'Bearer token_here'
    }
  })
  .then(response => {
    if (response.status === 401) {
      alert('401 Unauthorized: Please log in.');
    } else if (response.status === 403) {
      alert('403 Forbidden: You do not have access.');
    } else {
      return response.text();
    }
  })
  .then(data => {
    if (data) {
      document.getElementById('adminContent').innerText = data;
    }
  })
  .catch(error => console.error('Error:', error));
});

Đi sâu hơn vào mã trạng thái HTTP

Mã trạng thái HTTP rất cần thiết cho việc liên lạc giữa máy khách và máy chủ. Hiểu sự khác biệt giữa Và phản hồi là rất quan trọng để thực hiện các biện pháp bảo mật thích hợp trên một trang web. MỘT phản hồi chỉ ra rằng yêu cầu của máy khách chưa được hoàn thành vì nó thiếu thông tin xác thực hợp lệ cho tài nguyên đích. Ngược lại, một 403 Forbidden phản hồi biểu thị rằng máy chủ hiểu yêu cầu nhưng từ chối ủy quyền. Sự khác biệt này đảm bảo rằng người dùng nhận được phản hồi rõ ràng về các vấn đề truy cập của họ, giúp họ hiểu liệu họ có cần đăng nhập hay tài khoản người dùng của họ thiếu các quyền cần thiết.

Đối với các nhà phát triển web, việc chọn đúng mã trạng thái là điều cần thiết để duy trì một trang web an toàn và thân thiện với người dùng. Ví dụ: nếu người dùng cố gắng truy cập một trang bị hạn chế mà không đăng nhập, máy chủ sẽ phản hồi bằng một trạng thái, nhắc người dùng cung cấp thông tin xác thực hợp lệ. Mặt khác, nếu người dùng đã đăng nhập cố gắng truy cập một trang mà họ không có quyền cần thiết, máy chủ sẽ phản hồi bằng một thông báo trạng thái. Sự phân định rõ ràng giữa xác thực và ủy quyền này giúp ngăn chặn truy cập trái phép và tăng cường trạng thái bảo mật tổng thể của ứng dụng.

  1. Mã trạng thái trái phép 401 có nghĩa là gì?
  2. Các mã trạng thái có nghĩa là yêu cầu yêu cầu xác thực người dùng. Máy khách phải cung cấp thông tin xác thực hợp lệ để truy cập tài nguyên được yêu cầu.
  3. Mã trạng thái 403 Bị cấm có ý nghĩa gì?
  4. Các mã trạng thái cho biết máy chủ hiểu yêu cầu nhưng từ chối cấp phép. Điều này thường xảy ra khi người dùng không có các quyền cần thiết.
  5. Khi nào tôi nên sử dụng mã trạng thái trái phép 401?
  6. Sử dụng mã trạng thái khi người dùng cần được xác thực để truy cập tài nguyên nhưng thông tin xác thực được cung cấp bị thiếu hoặc không hợp lệ.
  7. Khi nào tôi nên sử dụng mã trạng thái 403 Forbidden?
  8. Sử dụng mã trạng thái khi người dùng được xác thực nhưng không có quyền cần thiết để truy cập tài nguyên.
  9. Mã trạng thái 403 Forbidden có thể được sử dụng để chặn IP không?
  10. Vâng mã trạng thái có thể được sử dụng để cho biết rằng quyền truy cập bị cấm do chặn IP hoặc các hạn chế tương tự khác.
  11. Sự khác biệt giữa mã trạng thái 401 và 403 là gì?
  12. Sự khác biệt chính là cho biết thiếu thông tin xác thực hợp lệ, trong khi cho biết thiếu các quyền cần thiết mặc dù đã xác thực.
  13. Mã trạng thái 401 có thể bao gồm tiêu đề WWW-Authenticate không?
  14. Vâng, một phản ứng thường bao gồm một trường tiêu đề chứa thông tin về cách xác thực.
  15. 403 Forbidden là lỗi máy khách hay máy chủ?
  16. Các mã trạng thái được coi là lỗi máy khách vì nó cho biết yêu cầu của máy khách hợp lệ nhưng máy chủ từ chối thực hiện yêu cầu đó.
  17. Tôi nên xử lý phản hồi trái phép 401 ở phía máy khách như thế nào?
  18. Về phía khách hàng, bạn nên nhắc người dùng đăng nhập hoặc xác thực lại khi nhận được phản ứng.

Tóm lại, việc chọn mã trạng thái HTTP chính xác giữa 401 Không được phép và 403 Bị cấm là rất quan trọng để kiểm soát truy cập thích hợp trong các ứng dụng web. Phản hồi 401 sẽ nhắc người dùng xác thực, trong khi phản hồi 403 cho biết không đủ quyền mặc dù đã xác thực. Việc triển khai các mã này một cách chính xác sẽ nâng cao tính bảo mật và trải nghiệm người dùng, cung cấp phản hồi rõ ràng về các vấn đề truy cập. Sự rõ ràng này giúp người dùng hiểu được liệu họ có cần đăng nhập hay yêu cầu các quyền bổ sung hay không, cuối cùng dẫn đến một trang web an toàn và thân thiện hơn với người dùng.