知识库 · TOPIC-04

AI 服务返回 HTTP 401/403：是网络问题，还是授权问题？

**简短结论：**真实的 HTTP 401/403 不等于“网络连不到服务”。它说明请求收到了一次 HTTP 响应，而状态码描述的是认证或授权边界；它既不代表登录成功，也不代表整个产品正常。

标准如何定义

RFC 9110 将 401 Unauthorized 定义为请求缺少目标资源所需的有效认证凭据；403 Forbidden 表示服务器理解请求，但拒绝执行。两者都是有效 HTTP 响应。

因此，在测量语境中，401/403 可以作为观测证据：本次请求已经完成解析、连接、TLS 和 HTTP 交换，并抵达某个响应方。但响应也可能来自安全网关、挑战层或其他中间系统，所以不能仅凭状态码断言最终应用和账号状态。

它能证明与不能证明的事

可能证明：

• 收到了 HTTP 状态，而不是连接超时；
• 本次请求此前的网络与 TLS 阶段已完成；
• 请求碰到了认证或策略边界。

不能证明：

• 凭据正确；
• 账号具备相应产品权限；
• Provider 全局健康；
• 流式响应或 WebSocket 一定可用；
• 响应一定来自最终业务源站。

安全检查

1. 只记录状态类别、时间、TLS 结果和经过批准的诊断头；绝不记录 Authorization 或 Cookie。
2. 报告中分开写“收到 HTTP 响应”和“应用授权成功”。
3. 只使用经过匿名测量审核的 endpoint，不探测未公开或私人地址。
4. 将官方状态与真实登录流程作为两条独立证据。
5. 若遇到认证挑战，只通过 Provider 正常登录流程处理，不在诊断工具中重试凭据。

Tivor 如何表达

在证据充分时，Tivor 会把测得的 401/403 表示为一次 HTTP 响应，并结合情况使用 challenge 或 incomplete。该产品语义以公开 RFC 为依据，并不声称所有 401/403 都无害；诊断工具也不会因为缺少凭据而请求或收集凭据。

验证

通过正常方式处理认证或策略问题后，分别重试同一项批准过的请求与真实用户流程。若 HTTP 仍有响应而产品仍失败，应继续检查产品路径，不应把问题简单归咎于网络。