Basic Authorization的成败响应码是否始终固定？是否支持站点自定义？

你的两个假设不完全准确，HTTP标准有明确规定，但实际对接多站点时，确实存在自定义配置的情况，具体如下：

标准规范要求 #

• 凭证验证成功时：服务器应当返回2xx类成功状态码，200 OK是最常见的，但如果请求本身是创建、更新或无内容操作，也可能返回201 Created、204 No Content等，并非固定200。
• 凭证验证失败时：标准明确要求返回401 Unauthorized，且必须携带WWW-Authenticate: Basic realm="指定领域"响应头，提示客户端发起Basic认证。

实际站点的自定义例外 #

很多站点会因为业务需求或开发习惯偏离标准：

• 验证失败时，部分站点错误返回403 Forbidden（混淆了"未授权"和"禁止访问"的概念），甚至返回3xx重定向到登录页面，或者返回200但在响应体中携带验证失败的提示信息。
• 验证成功时，也可能根据请求的具体操作返回其他2xx状态码，比如上传文件成功返回201，删除资源成功返回204。

代码处理建议 #

• 不要仅通过单一状态码判断验证结果：优先检查响应头是否存在WWW-Authenticate: Basic字段（这是验证失败的标准标识），同时结合状态码范围（2xx为成功，401/403等为失败）和响应体内容综合判定。
• 对接多站点时，建议先参考每个站点的官方文档，或实际测试其返回结果，针对性适配判断逻辑，避免一刀切的处理方式。

内容的提问来源于stack exchange，提问作者Idos