http - 認証されていないことをクライアントに正しく伝え、ログインページを表示するにはどうすればよいですか?

Question

だから、私はカスタム認証システムを持っています (私は自分が何をしているのか知っています)。ただし、ユーザーが安全なページにアクセスしようとすると、不適切な応答パターンと思われるものが得られます。

基本的に、私が想定しているのは次のとおりです。

1. ユーザーアクセス/securepage
2. 403 応答が返され、何らかの方法でログイン画面が表示されます

現在起こっていることは次のとおりです。

1. /securepageからへの 302 リダイレクト/login
2. から送信された 200 OK 応答/login

これを処理する適切な方法は正確には何ですか？これまでの私の考え：

• ログインへの 302 リダイレクト後、ログインは 403 で応答します。
• ログインへのサーバー側の転送を伴う 403 エラー コード (ただし、これにより非常に複雑になります)
• そのままで十分正しい

これを処理する適切な方法は正確には何ですか？

Answer 1

そのままで正しいです。

403は「禁止」を意味します。

どちらかといえば、401 "Unauthorized"を使用しますが、それには、自分が行っていないチャレンジでも応答する必要があります。

実際にログインページを表示しているので、リダイレクトの後に200のログインページが続くのが正しい動作です。