如果需要重新验证，则为HTTP状态

Question

假设您使用基于令牌的身份验证，您将在此方案中使用哪个状态代码：

1. 客户端有一个令牌并向服务器发出请求。
2. 令牌已过期，服务器发送401 Unauthorized。
3. 客户端发送刷新令牌。
4. 令牌无效，服务器响应XXX？

用例是一个应用程序，它自动捕获401并使用刷新令牌发出请求。如果此令牌无效，服务器将使用401响应，则客户端将尝试永久请求具有刷新令牌的新访问令牌。但它应该告诉客户端，它应该使用其凭据（例如电子邮件和密码）重新进行身份验证。

我只是想知道哪种状态代码最适合这种情况，因为规范说如果403 Forbidden“授权将无济于事”。

Answer 1

我不会使访问和刷新令牌可互换：使用Access-Tokens访问受保护资源并使用Refresh-Token从特殊端点获取新的Access-Token。 OpenID Connect以这种方式工作。

你会有一个HTTP请求更多，但HTTP代码不会有问题，在我看来，你会得到一个更干净的代码。