يشير 401 غير مصرح إلى أن العميل غير مُصادق عليه، ويتطلب تقديم بيانات اعتماد صالحة. أما 403 ممنوع فيُشير إلى أن العميل مُصادق عليه ولكنه يفتقر إلى الصلاحيات اللازمة للوصول إلى المورد.
في كل مرة تقوم فيها بتحميل صفحة ويب، أو إجراء دفع أو تسجيل الدخول إلى تطبيق، هناك محادثة غير مرئية تحدث بين جهازك والخادم. إنه مثل إرسال رسالة وانتظار الرد - أحيانًا يكون الرد مرفوعًا، وأحيانًا يكون ردًا مؤدبًا 'حاول مرة أخرى'، وأحيانًا يكون 'لا' صريحة. هذه الردود، المعروفة باسم رموز حالة HTTP، هي الأبطال المجهولون للإنترنت، يقودون تدفق الاتصال بصمت ويضمنون أن كل شيء يعمل بسلاسة - أو على الأقل يخبرونك عند عدم حدوث ذلك.
رموز حالة HTTP هي مثل إشارات في محادثة بين العميل (مثل متصفحك أو تطبيقك) والخادم. إنها توفر تحديثات سريعة وواضحة حول ما حدث عند إرسال طلب - سواء سار كل شيء بسلاسة، أو وقع خطأ ما، أو كانت هناك حاجة إلى إجراء إضافي. دعونا نفكر في الأمر كزيارة إلى مخبز مُدار بشكل جيد:
تطلب كرواسون، ويبتسم الخباز ويسلمه لك ويقول: "ها هو!" هذه هي HTTP 200 OK - تم نجاح الطلب وعمل كل شيء كما هو متوقع.
رمز حالة HTTP 200 OK هو أحد الرموز الأكثر استخدامًا، مما يشير إلى أن الطلب الذي أرسله العميل قد تم استلامه وفهمه ومعالجته بنجاح بواسطة الخادم.
تصل إلى مخبزك المفضل، لكن هناك لافتة تقول: "لقد انتقلنا إلى 123 شارع نيو". هذا هو 301 Moved Permanently. يُخبر الخادم متصفحك بالانتقال إلى العنوان الجديد تلقائيًا.
رمز حالة HTTP 301 Moved Permanently يشير إلى أن المورد المطلوب قد تم نقله بشكل دائم إلى عنوان URL جديد. هذا الرمز يُعلم العميل (على سبيل المثال، المتصفح أو عميل API) بتحديث سجلاته واستخدام عنوان URL الجديد للطلبات المستقبلية.
تطلب كعك الشوكولاتة، ويقول الخباز: "لا نصنع تلك هنا." هذا هو 404 Not Found - المورد الذي تبحث عنه ليس موجودًا على الخادم.
رمز حالة HTTP 404 Not Found يشير إلى أن الخادم لم يتمكن من العثور على المورد المطلوب. هذا الرد يعني أن طلب العميل كان صالحًا، لكن الخادم لم يتمكن من تحديد موقع المورد الذي طُلب.
تحاول دخول صالة الشخصيات المهمة، لكن الحارس يوقفك ويقول: "عليك أن تُظهر بطاقة عضويتك." هذا هو 401 Unauthorized - يلزم المصادقة قبل أن تتمكن من الوصول إلى المورد.
رمز حالة HTTP 401 Unauthorized يشير إلى أن طلب العميل لم يتم تطبيقه لأنه يفتقر إلى بيانات اعتماد المصادقة الصالحة. يتطلب الخادم من العميل إثبات هويته للوصول إلى المورد المطلوب.
تُظهر بطاقة عضويتك، لكن الحارس يقول: "فقط الأعضاء البلاتينيين يمكنهم الدخول." هذا هو 403 Forbidden - أنت مُصادق ولكن ليس لديك الصلاحيات اللازمة للوصول إلى المورد.
رمز حالة HTTP 403 Forbidden يشير إلى أن الخادم يفهم طلب العميل ولكنه يرفض تلبيته لأن العميل لا يمتلك الصلاحيات اللازمة. هذا يختلف عن حالة 401 Unauthorized، حيث يكون العميل مُصادقًا (أو لا يتطلب الطلب المصادقة)، ولكن الوصول إلى المورد يُمنع بشكل صريح.
تضع طلبًا، لكن فجأة يبدأ الدخان في التصاعد من المطبخ. يقول الخباز: "لا يمكننا تلبية طلبك؛ حدث خطأ داخلي." هذا هو 500 Internal Server Error - واجه الخادم مشكلة غير متوقعة.
رمز حالة HTTP 500 Internal Server Error يشير إلى أن الخادم واجه حالة غير متوقعة منعته من تلبية الطلب. إنه استجابة خطأ عامة ولا يوفر تفاصيل محددة حول ما حدث خطأ.
تزور المخبز، لكن هناك لافتة تقول "مغلق للصيانة". سيتم إعادة فتح المخبز لاحقًا. هذا هو 503 Service Unavailable - الخادم غير قادر مؤقتًا على تلبية طلبك، عادةً بسبب التحميل الزائد أو الصيانة.
رمز حالة HTTP 503 Service Unavailable يشير إلى أن الخادم غير قادر مؤقتًا على معالجة الطلب. قد يكون ذلك بسبب التحميل الزائد على الخادم، أو الصيانة، أو ظروف مؤقتة أخرى. على عكس 500 Internal Server Error، يشير 503 إلى أنه من المتوقع حل المشكلة قريبًا.
رموز حالة HTTP هي المفتاح للحفاظ على اتصال فعال بين العملاء والخوادم. فهي تُخبر العملاء بسرعة عما إذا كانت طلباتهم ناجحة، أو فشلت، أو تتطلب إجراءً إضافيًا. بالنسبة للمطورين والمهنيين في مجال تكنولوجيا المعلومات، فهم هذه الرموز يساعد في تصحيح الأخطاء، وتصميم معالجة أفضل للأخطاء، وتحسين تجربة المستخدم العامة.
فكر فيها كإشارات احترافية وموحدة في المحادثة المستمرة على الإنترنت.
في هذه المقالة، أود التركيز على أخطاء 401 و 403، لأنها ترتبط ارتباطًا وثيقًا بالتوثيق (AuthN) والتفويض (AuthZ).
يتم استخدام رمز حالة HTTP 401 Unauthorized عندما يتطلب طلب العميل مصادقة، ولكنه إما مفقود أو غير صالح أو فشل. يخبر العميل بأنه بحاجة إلى المصادقة للوصول إلى المورد المطلوب. العلاقة بين التوثيق ورمز حالة 401 Unauthorized تكمن في دور التوثيق في تحديد ما إذا كان يمكن للطلب المتابعة.
401 unauthorized يجب أن يتضمن رأس WWW-Authenticate، الذي يوفر تفاصيل حول كيفية التوثيق.
إذاً، ما هي السيناريوهات الشائعة لاستخدام 401 Unauthorized؟
المصادقة مفقودة
لا يتضمن الطلب بيانات اعتماد المصادقة المطلوبة. على سبيل المثال: يتم إجراء طلب لنقطة نهاية API محمية بدون رأس Authorization.
بيانات اعتماد التوثيق غير صالحة
يوفر العميل بيانات اعتماد، لكنها غير صحيحة أو لا تتطابق مع ما يتوقعه الخادم. على سبيل المثال، يُرسل مستخدم مفتاح API غير صالح أو رمز مشوه.
انتهاء صلاحية رمز التوثيق
رمز التوثيق صالح ولكنه منتهي الصلاحية، مما يتطلب من العميل إعادة المصادقة. على سبيل المثال، رمز JWT مع تاريخ انتهاء صلاحية سابق (الادعاء exp).
رأس التوثيق مفقود أو مشوه
يُطلب رأس التوثيق ولكنه إما غير متوفر أو ذو صيغة غير صحيحة.
نظام التوثيق غير مدعوم
الخادم لا يدعم الطريقة التي يوفرها العميل للتوثيق. على سبيل المثال: يُرسل العميل رأس مصادقة أساسي، لكن الخادم يدعم فقط رموز Bearer.
جلسة غير صالحة أو إبطال الرمز
تم إبطال جلسة المستخدم أو تم إلغاء صلاحية رمزهم. على سبيل المثال: يقوم المستخدم بتسجيل الخروج، ولكن يتم استخدام نفس الرمز للوصول إلى مورد محمي.
مثال على رد
رمز حالة HTTP 403 Forbidden يعني أن الخادم يفهم الطلب وهوية العميل (إذا تم التوثيق) ولكنه يرفض الوصول بسبب الصلاحيات غير الكافية. يوضح بشكل واضح، "لا يُسمح لك بفعل ذلك،" مما يضمن حدود وصول واضحة ويعزز سياسات الأمان.
الفرق بين 401 Unauthorized و 403 Forbidden يكمن في أدوارهما ضمن سياقات التوثيق والتفويض.
التفويض آلية منفصلة عن التوثيق. بينما يحدد التوثيق هويتك، يحدد التفويض ما إذا كان بإمكانك الوصول إلى موارد معينة وما الإجراءات التي يمكن القيام بها عليها.
للتحقق من الفرق التفصيلي بين AuthN و AuthZ، قم بالتحقق من المقالات التالية.
إذاً، ما هي السيناريوهات الشائعة لاستخدام 403 Forbidden؟
مصدق عليه لكن لا يمتلك الإذن
العميل مسجل الدخول أو مُصادق عليه ولكنه لا يمتلك الصلاحيات أو الدور المطلوب. على سبيل المثا للحصول على دور "مُشاهد" يحاول حذف ملف، مما يتطلب امتيازات "محرر".
وصول المورد مقيد
تم حظر الوصول إلى المورد بشكل متعمد لمستخدمين أو مجموعات محددة. على سبيل المثال: يتم مشاركة مستند خاص مع مستخدمين محددين ويصل إليه شخص غير موجود في قائمة الوصول.
حظر IP أو الموقع الجغرافي
يتم حظر عنوان IP للعميل أو موقعه الجغرافي بواسطة الخادم. على سبيل المثال: يحاول مستخدم من منطقة محظورة الوصول إلى خدمة تعمل فقط في دول معينة.
حظر الأفعال بواسطة السياسات
يحاول العميل القيام بإجراء محظور بواسطة سياسات أو قواعد الخادم. على سبيل المثال: يحاول مستخدم تعديل مورد تم وضع علامة عليه كـ "قراءة فقط".
حظر الموارد الثابتة
يرفض الخادم الوصول إلى ملفات أو أدلة ثابتة محددة لأسباب أمنية.
مثال: يحاول مستخدم الوصول إلى ملف .htaccess أو ملف تكوين الخادم.
الحساب معلق أو معطل
حساب العميل معطل أو محظور بسبب انتهاكات أو خمول. على سبيل المثال: يحاول مستخدم ذو حساب معلق تسجيل الدخول أو الوصول إلى الموارد.
الإجراء يتطلب صلاحيات مرتفعة
الإجراء المطلوب يتطلب امتيازات خاصة (مثل، مشرف أو مستخدم متميز). على سبيل المثال: يحاول مستخدم عادي الوصول إلى نقاط النهاية المخصصة للمسؤولين فقط.
مثال على الرد:
عادةً ما يشير خطأ 401 إلى أن المصادقة مطلوبة وفشلت.
تأكد من وجود رأس التفويض ومن صياغته بشكل صحيح وتحقق من أن بيانات الاعتماد (مفتاح API أو الرمز أو كلمة المرور) صحيحة ولم تنتهي صلاحيتها. يعد إدخال اسم مستخدم أو كلمة مرور خاطئة أحد الأسباب الأكثر شيوعًا لخطأ 401.
قد يتوقع الخادم طريقة توثيق مختلفة عما يُقدمه العميل. يمكن أن يحدث ذلك إذا لم يكن العميل والخادم متفقين على بروتوكول التوثيق. استخدم الطريقة الصحيحة (مثل، Basic، Bearer، مفتاح API) كما هو محدد بواسطة الخادم وتحقق من الصياغة الصحيحة في الرؤوس.
راجع جسم الاستجابة للحصول على تفاصيل الخطأ وانظر إلى رأس WWW-Authenticate للحصول على تعليمات التوثيق.
تأكد من أن نقطة النهاية ومعلمات الطلب والمضيف صحيحة وتأكد من أن المورد الذي تتصل به يتطلب توثيقًا.
قم بفك شفرة الرمز وفحصه (مثل، باستخدام https://logto.io/jwt-decoder) للتحقق من صلاحيته وانتهائه وادعاءاته وقارن جمهور الرمز (aud) بمتطلبات API.
عادةً ما يعني الخطأ 403 الممنوع أن عملية التفويض قد اكتملت، لكن الوصول تم رفضه. لتشخيص هذا الخطأ، ضع في اعتبارك الحالات التالية:
تأكد من أن حسابك أو مفتاح API أو الرمز يحتوي على الأذونات المطلوبة للمورد. تحقق مما إذا كان المورد مقيدًا بأدوار أو مجموعات معينة.
تأكد من أنك مُصادق عليه بشكل صحيح (على سبيل المثال، برمز أو بيانات اعتماد صالحة).
قم بمراجعة طريقة التوثيق المطلوبة بواسطة الخادم.
تأكد من أن المورد المطلوب موجود وأن لديك حق الوصول إليه. عند استخدام APIs، تحقق من متطلبات نقطة النهاية في الوثائق.
تحقق مما إذا كان عنوان IP الخاص بك أو موقعك الجغرافي مقيدًا بواسطة الخادم.
تأكد من أن الإجراء المطلوب لا ينتهك القواعد أو السياسات الطرفية الخادم (مثل، الوصول إلى مورد للقراءة فقط).
افحص جسم الاستجابة للحصول على تفاصيل توضح سبب الخطأ 403.
لا، لا يمكن لطلب HTTP واحد أن يعيد كلا من رموز حالة 401 Unauthorized و 403 Forbidden في نفس الوقت لأن استجابة HTTP يمكن أن تتضمن رمز حالة واحد فقط.
في تطوير التطبيقات الحديثة، 401 Unauthorized و 403 Forbidden هما رموز حالة HTTP يواجهها المطورون بشكل متكرر. بينما قد تبدو متشابهة، فإن معانيها وحالات الاستخدام الخاصة بها تختلف بوضوح. لتوضيح فروقاتها، تستكشف هذه المقالة أمثلة عملية لهذين الرمزين في سيناريوهات مثل التوثيق، التفويض، وتعدد المستأجرين، والمصادقة متعددة العوامل (MFA).
Logto هو مزود توثيق بشكل رئيسي، يوفر طرق أساسية مثل تسجيل الدخول بدون كلمة مرور، البريد الإلكتروني وكلمة المرور، MFA، SSOs المؤسسي، وتسجيل دخول عبر وسائل التواصل الاجتماعي، كل ذلك على أساس بروتوكولات قياسية مفتوحة مثل OIDC، OAuth 2.0، و SAML.
كما يقدم Logto Cloud ميزات التفويض الأساسية، بما في ذلك التحكم في الوصول المعتمد على الدور (RBAC)، المنظمات (تعدد المستأجرين)، و المطالبات المخصصة للرموز لتلبية مجموعة متنوعة من احتياجات التفويض.