其含义如下：

401：用户未（正确）验证，资源/页面需要验证

403:用户的角色或权限不允许访问请求的资源，例如，用户不是管理员，请求的页面是管理员的。

注意：从技术上讲，403是401的超集，因为给未经认证的用户403也是合法的。无论如何，区分更有意义。

我已经为您创建了一个简单的注释，它将使您明白。

考虑到最新的RFC（7231和7235），用例似乎非常清楚（添加了斜体）：

401表示未经认证（“缺少有效认证”）；即“我不知道你是谁，或者我不相信你是你说的那样。”

401未授权

401（未授权）状态代码表示请求没有已应用，因为它缺少有效的身份验证凭据目标资源。生成401响应的服务器必须发送WWW Authenticate头字段（第4.1节），至少包含一个适用于目标资源的挑战。

如果请求包括认证证书，则401响应表明授权已被拒绝资格证书用户代理可以使用新的或替换了Authorization头字段（第4.2节）。如果401响应包含与先前响应相同的挑战用户代理已经至少尝试了一次身份验证，然后用户代理应向因为它通常包含相关的诊断信息。

403表示未经授权（“拒绝授权”）；即“我知道你是谁，但你无权访问此资源。”

403禁止

403（禁止）状态代码表示服务器已理解请求，但拒绝授权公开为什么该请求被禁止可以描述这一点响应有效载荷中的原因（如果有的话）。

如果请求中提供了身份验证凭据服务器认为它们不足以授予访问权限。客户不应自动重复相同的请求资格证书客户可以用新的或不同的重复请求资格证书然而，出于某些原因，请求可能被禁止与证书无关。

希望“隐藏”当前存在的禁用的目标资源可能会以状态代码响应404（未找到）。

在401对403的情况下，这已经得到了多次回答。这本质上是一场“HTTP请求环境”辩论，而不是“应用程序”辩论。

您自己的登录问题（应用程序）似乎有问题。

在这种情况下，仅仅不登录不足以发送401或403，除非您使用HTTP Auth与登录页面（与设置HTTP Auth无关）。听起来您可能正在寻找一个“201已创建”，其中有一个滚动您自己的登录屏幕（而不是请求的资源），用于应用程序级访问文件。上面写着：

“我听到了，它在这里，但试试这个（不允许你看到）”

其他答案缺少的是，必须理解RFC 2616上下文中的认证和授权仅指RFC 2617的HTTP认证协议。HTTP状态代码不支持RFC2617以外的方案进行认证，并且在决定是否使用401或403时不考虑。

Brief和Terse

未授权表示客户端未通过RFC2617认证，服务器正在启动认证过程。Forbidden表示客户端已通过RFC2617认证且没有授权，或者服务器不支持请求资源的RFC2617。

也就是说，如果您拥有自己的登录过程，并且从不使用HTTP身份验证，那么403始终是正确的响应，而401永远不应该使用。

详细和深入

来自RFC2616

10.4.2 401未授权请求需要用户身份验证。响应必须包括WWW Authenticate报头字段（第14.47节），该字段包含适用于所请求资源的质询。客户端可以使用适当的授权头字段重复请求（第14.8节）。

and

10.4.4 403禁止服务器理解该请求，但拒绝履行。授权不会有帮助，不应重复该请求。

首先要记住的是，本文档中的“身份验证”和“授权”特指RFC 2617中的HTTP身份验证协议。它们不引用您可能使用登录页面等创建的任何滚动您自己的身份验证协议。我将使用“登录”来引用除RFC2617以外的方法进行的身份验证和授权

因此，真正的区别不在于问题是什么，甚至不在于是否有解决方案。区别在于服务器希望客户端接下来做什么。

401指示无法提供资源，但服务器正在请求客户端通过HTTP身份验证登录，并已发送回复标头以启动进程。可能存在允许访问资源的授权，也可能没有，但让我们尝试一下，看看会发生什么。

403指示不能提供资源，并且对于当前用户来说，没有办法通过RFC2617来解决这一问题，也没有尝试的意义。这可能是因为已知没有足够的认证级别（例如，由于IP黑名单），但也可能是因为用户已经认证且没有权限。RFC2617模型是一个用户，一个证书，因此可以忽略用户可能具有可被授权的第二组证书的情况。它既不暗示也不暗示某种登录页面或其他非RFC2617认证协议可能有帮助，也可能没有帮助，这超出了RFC2616标准和定义。

编辑：RFC2616已过时，请参阅RFC7231和RFC7235。

我对它的看法与公认的答案略有不同。

当认证失败时返回403，当授权失败时返回401，这似乎更符合语义和逻辑。

我的理由如下：

当您请求认证时，您有权提出该请求。你需要这样做，否则一开始就没有人能够通过认证。

如果您的身份验证失败，您将被禁止，这是有意义的。

另一方面，被禁止者也可以申请授权，但假设您已通过身份验证，但无权访问特定端点。返回401 Unauthorized似乎更有意义。

对于失败的身份验证尝试，Spring Boot的安全性返回403