Сервис возвращает 403 для запроса без токена и для запроса с действительным токеном пользователя без нужной роли. В чём ошибка контракта и какие проверки должны отличать эти два случая?

Question

Accepted Answer

Отсутствующий, просроченный или недействительный токен означает, что клиент не аутентифицирован: обычно нужен ответ 401. Действительный токен при недостаточных правах означает успешную аутентификацию, но отказ в доступе: нужен 403. Неверное смешение статусов мешает клиенту выбрать действие: при 401 он может запросить повторный вход или обновить токен, а при 403 это бессмысленно. В тестах нужно отдельно проверить запросы без токена, с некорректным токеном, с токеном обычного пользователя и с токеном роли, которой доступ разрешён.