401 và 403 khác nhau ra sao? 404 dùng khi nào cho đúng?

Chỗ 404 thay cho 403 đáng nói kỹ: nếu /orders/123 trả 403 cho người không sở hữu đơn đó, kẻ tấn công quét id và biết được đơn nào tồn tại — một dạng liệt kê tài nguyên. Trả 404 cho cả hai trường hợp khiến hai kịch bản không phân biệt được. Đánh đổi là log của bạn phải phân biệt được, nếu không thì đội hỗ trợ mất khả năng chẩn đoán.

Nhóm 4xx và 5xx chia trách nhiệm chứ không chia mức nghiêm trọng: 4xx nghĩa là “yêu cầu này sai, gửi lại y hệt cũng sẽ sai”, 5xx nghĩa là “phía tôi hỏng, thử lại có thể được”. Sự phân chia này quan trọng vì client và cả hạ tầng dựa vào nó để quyết định retry — trả 500 cho một body sai định dạng khiến client retry mãi một yêu cầu không bao giờ thành công.

Vài mã ít dùng mà rất đáng dùng: 409 Conflict cho xung đột trạng thái (khoá lạc quan thất bại), 422 khi cú pháp đúng nhưng nghiệp vụ sai, 429 kèm Retry-After cho giới hạn tần suất, và 503 kèm Retry-After khi bạn đang quá tải. Ba cái sau cho client biết PHẢI LÀM GÌ, chứ không chỉ biết là hỏng.