Существует ли какие-либо стандарты ответов в restful?

Question

[Almik Эх! Дайте мне гитару]

Здравствуйте!

В общем есть rest api к которому некоторые приложения могут получить доступ.
Для начало приложение проходит авторизацию , затем получает тоукен. По этому тоукену приложение в дальнейшем будет обращаться к rest api. Вопрос :
при неправильном авторизации или при подаче неправильного тоукена приложением, каким образом( то есть опираясь на какие рекомендации или стандарты может быть) должен ответить сервер.

Например, у меня в данный момент при авторизации , если приложение подал неправильный пароль возвращается следующий ответ.

{
  status: 'error',
  msg : 'Wrong credentials!'
}

Мне хотелось бы узнать от знатоков , правильно ли возвращать такой ответ или существует стандартные ответы при таких случаях?

Заранее преблогадарен за ваш ответ

Answer 1

[Сергей Протько]

Есть вполне стандартные статус коды:
401 - нужно авторизоваться. В этом случае на клиенте мы должны попросить чувака ввести логин и пароль
403 - у вас нет прав на это действие. Например юзер пытался удалить что-то или сделать что-то на что у него нет прав.
422 - не могу обработать сущность. То есть если у нас не валидны данные в запросе, пароль там или имейл не ввели и все такое.
404 - пользователя с таким именем пользователя и паролем не существует.

Добавлять ли в тело ответа месседж с пояснением проблемы - решать вам. По хорошему стоит добавлять ибо тогда мы можем рулить сообщениями об ошибках с сервера. Ну или предоставлять клиенту оные. Но в любом случае разруливать ошибки нужно при помощи статус кодов.

restpatterns.org/HTTP_Status_Codes

Comments

[Almik Эх! Дайте мне гитару]

то есть можно писать примерно такое
{
status: 401,
msg : 'Wrong credentials!'
}

[Сергей Протько]

almyk: нет, status нужно отправлять заголовком а не в теле. Читайте про статус коды в HTTP. А тело - без разницы как вам удобнее. Но я бы не использовал сокращения типа msg. А скорее что-то типа description/message.

Answer 2

[Александр Макаров]

По статус кодам — примерно да. Примерно потому как иногда оно варьируется.

По структуре ответа — нет.

Comments

[Almik Эх! Дайте мне гитару]

Здравствуйте,
В данный момент я использую yii 1.1.15. Стояла задача авторизации и аутентификации приложении для доступа к rest api сайта. В итоге мне пришлось написать код для авторизации и аутентификации приложении. Хотелось бы у вас спросить имеются ли для yii такие расширения ?

[Александр Макаров]

Для 2.0 из коробки есть. Для 1.1 не знаю.

Answer 3

[Mikhail Osher]

Мое мнение. (с исправлениями Сергея Протько, спасибо ему)

Когда гость запрашивает ресурсы, требующие авторизации - возвращать 401.
Когда гость авторизуется с неправильными данными - 422.
Когда юзер запрашивает ресурсы, но нет нужных прав доступа - 403.
Когда нет нужного csrf/api токена при запросе - 422.

И давать пояснения. Тут уже на Ваш выбор. Главное, опишите все моменты в документации, если кто-то еще будет пользоваться.

Comments

[Сергей Протько]

Когда гость авторизуется с неправильными данными - 422.
Когда нет нужного csrf/api токена при запросе - 422.
Когда в теле запроса невалидный json/xml (то есть распарсить нельзя) - 400

[Almik Эх! Дайте мне гитару]

Здравствуйте, не могли бы сказать какой ответ должен выдать сервер если
срок тоукена истек ?

[Mikhail Osher]

Сергей Протько: спасибо, меня не раз задумывался над этим вопросом.

[Сергей Протько]

almyk: 401 по идее... во всяком случае я 401-ую ошибку использую так как при невалидном или устаревшем токене мы не можем провести аутентификацию пользователя. До авторизации мы даже не добирались. Да и если посмотреть на реализацию других API то там примерно так же.