REST API开发疑问：用户名/密码错误时用200替代401可行吗？

别这么干！在用户未找到的时候返回200状态码绝对是个坏主意——这完全违背了HTTP状态码的设计语义，会把前端和其他调用方搞懵，后续维护起来也会一堆麻烦。

HTTP状态码的核心作用就是用数字明确告诉调用方请求的结果状态：200代表请求完全成功，但用户未找到明明是身份验证失败的场景，属于客户端错误，怎么能算“成功”呢？

另外你说用401时没法发送错误消息？这其实是个误解！401响应完全可以携带JSON格式的错误内容，不管是浏览器还是Axios、Fetch这类前端请求库，都能正常读取响应体里的消息。我给你改改代码示例：

User.findOne({ email: req.body.email }).then((user) => {
  if (!user) {
    // 这里用401，同时正常返回错误消息
    return res.status(401).json({ 
      message: '用户名不存在或密码错误' 
    });
  }
  // 接下来验证密码的逻辑...
}).catch(err => {
  res.status(500).json({ message: '服务器内部出错了' });
});

再给你理清楚几个关键点：

• 为什么选401？RFC规范里明确401是“未授权”的标准状态码，用户不存在、密码错误都属于身份验证失败的范畴，用它才是符合REST规范的做法。
• 如果真的遇到前端拿不到响应体的情况，大概率是你的后端CORS配置有问题，比如没允许自定义响应头或者响应体的传输，调整CORS设置就行，和401本身没关系。
• 也有人会用404表示用户不存在，但从身份验证的上下文来看，401更合适——因为我们是在做身份验证，不是在查找一个普通资源，本质是验证失败，不是资源找不到。

总之，别为了一时的方便破坏HTTP的语义规范，坚持用标准状态码+响应体错误消息的模式，这才是专业的REST API做法。

内容的提问来源于stack exchange，提问作者brett