身份验证与授权

身份验证 (authn) 确定调用者的身份——通过密码验证、令牌签名验证或客户端证书验证。授权 (authz) 基于此身份，决定是否允许对特定资源执行特定操作。每个受保护的请求都会按此顺序经过身份验证和授权。

工作原理

HTTP 会针对每种错误状态返回不同的错误代码：401 Unauthorized 表示身份验证缺失或失败，客户端需要获取或刷新凭据；403 Forbidden 表示已知调用者身份，但仍然无法访问，因此使用相同的身份再次尝试是徒劳的。角色、作用域和资源所有权都是授权的输入参数。

误解

401 和 403 错误可以互换。名称容易误导——401 实际上是"unauthenticated" ——但区别在于客户端的行为：如果客户端在出现 403 错误时将用户重定向回登录页面，就会让用户陷入无法解决问题的登录循环。

点击这里试试

在目录中使用 qa-viewer-token 对任何 DELETE 请求执行操作，即可从已知但权限不足的调用者处获得 403 错误；而完全不发送令牌则会收到 401 错误——相同的端点，两种不同的失败。

相关内容

• HTTP 401 Unauthorized
• HTTP 403 Forbidden

资料来源

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

其他术语

• JWT（JSON Web Token） — 以签名 JWS 或加密 JWE 形式表示声明的紧凑格式。
• JWKS — JSON Web 密钥集——发行者发布的公钥，以便任何人都可以验证其签名的代币。
• Bearer 令牌 — 一种凭证，持有者即可获得访问权限——谁持有它就可以使用它。
• 刷新令牌 — 仅用于获取新的短期访问令牌的长期凭证，无需用户再次登录。
• OAuth 2.0 — 该标准框架允许应用程序获取有限的访问令牌，而不是处理用户的密码。
• PKCE — 代码交换证明密钥——一次性密钥，可防止被盗的 OAuth 授权码被其他人兑换。

阅读英文版

所有术语 · 测试技巧 · 全部 39 个模拟 REST API

最后更新时间 2026年10月16日