17

Estou implementando um serviço de um site que faz o seguinte:

  • O meu site (A) conecta em alguns serviços externo providos por terceiros (B, C e D) usando webservices.

  • Na verdade A é uma API REST no backend que é acessado pelo javascript do frontend. O frontend não necessariamente é o meu, o cliente pode desenvolver o seu próprio frontend acessando a minha API REST se assim ele preferir.

  • Cada usuário do meu site A tem um login e senha no site B, um no site C e um no site D. Cada um desses logins e senhas dos sites B, C e D ficam salvos no meu banco de dados, por meio de uma funcionalidade oferecida ao usuário para este fim. Esses logins e senhas são diferentes entre si e diferentes do login e senha que uso para logar o cliente no site A.

  • Há algumas funcionalidades que o cliente acessa no meu site A que dependem da integração com os serviços B, C e D, e neste momento o login e a senha do respectivo serviço integrado é usado.

  • Por vezes, o login e senha enviados ao B, C ou D estão errados porque o meu usuário (do site A) os salvou incorretamente ao usar a funcionalidade que salva esses logins e senhas no banco de dados.

Pois bem, a minha dúvida é qual é o código de status HTTP que devolvo ao navegador do cliente quando o login e senha para a integração estão errados.

Há alguns status não-oficiais usados por aí, mas nenhum deles parece se adequar também.

Assim sendo, nenhum dos códigos HTTP 4xx e 5xx oficiais que achei especificados em algum lugar parecem fazer sentido para o meu caso. Então, o que devo fazer? Que código HTTP devo utilizar e por quê? Se nenhum dos códigos de status oficiais forem adequados, seria melhor eu inventar um para isso ou forçar o uso de algum já existente? Se for forçar o uso de algum já existente, qual seria e por quê?

Além disso, noto que esse meu problema deve ser algo comum e recorrente, e portanto já deveria estar coberto em algum dos códigos existente.

Um outro ponto é que não tenho certeza se é problema no cliente (4xx) ou no servidor (5xx), uma vez que a requisição do cliente não pôde ser atendida devido a um problema na integração no lado do servidor (5xx), entretanto a razão de ocorrer essa falha é porque o cliente forneceu informações incorretas (4xx), mas essas informações não foram passadas pelo cliente no momento da requisição, e sim estavam armazenadas no lado do servidor (5xx).

Nota 1: Eu estou ciente das questões acerca de armazenar login e senha de clientes para serviços de terceiros ao invés de solicitá-los em cada requisição e das implicações em relação a segurança disso. Entretanto, o que estou pedindo tem pouca relação com isso.

Nota 2: Considerando-se os comentários e as duas respostas postadas, esclareço que não posso simplesmente retornar 200 indiscriminadamente para qualquer requisição para então impor ao cliente que interprete a resposta para saber se houve um erro ou não. Retornar um 400 para todo e qualquer erro e esperar o mesmo do cliente também está fora de cogitação. É um requisito importante que o código de status HTTP deva ser um código informativo.

Nota 3: Por enquanto, estou usando um código personalizado 432 para esta situação.

16
  • na minha opinião, HTTP Status refere-se ao seu website, e não dos serviços integrados. Se o site A está funcionando corretamente, a resposta deve ser 200, caso haja algum problema de integração por erro de digitação, o seu site A deve informar ao seu cliente que a integração não aconteceu por erro de digitação, e indicando que as configurações do perfil do cliente devem ser corrigidas. Se você retornar um erro 4xx ou 5xx, isso indicará um erro no seu site. 6/02/2017 às 16:11
  • A resposta me parece simples - seu site é a referência de estado. Se funcional (integração não causa uma falha catastrófica) então você conseguiu gerenciar o estado: 200 OK. Se a integração torna impossível a execução da ação, 500 Internal Server Error. (Edit) O ponto do Ricardo é perfeito. Integrações são parte da sua aplicação.
    – OnoSendai
    6/02/2017 às 16:13
  • 1
    @VictorStafusa Talvez eu não tenha me feito claro. Se as credenciais do usuário estão erradas, e o serviço remoto não as aceitou, isso não é um erro do seu sistema - você precisa implementar um fluxo que corrija a configuração. Entretanto, sua aplicação ainda está funcional; vocêe precisará guiar o usuário por um outro fluxo do processo, mas isso não implica num erro: 200 OK indica que sua aplicação ainda funciona. A não ser que ela seja apenas um proxy.
    – OnoSendai
    6/02/2017 às 16:19
  • 1
    @VictorStafusa, o cliente acessa o seu Site A, então, sempre que estiver online a resposta do seu site A será 200. Se a resposta dos outros serviços for diferente, você indica em uma página a resposta de cada serviço. Se você "assumir" o erro do site B ou site C, é o seu site A que está com problema. 6/02/2017 às 16:20
  • 1
    stackoverflow.com/questions/942951/…, mesmo tema, tem várias respostas e diagramas. 6/02/2017 às 16:43

5 Respostas 5

3

Como você faz múltiplas operações, algumas funcionam e outras não, você pode utilizar o multi status (207) e listar os status apropriados por operação.

1
2

Eu considero que 403 (Forbidden) faz sentido nesse caso. Já cheguei a usar 400 (Bad request) em casos parecidos – é pouco preciso, mas ainda acho aceitável.

A justificativa para o uso da faixa 4xx é que se trata sim de um erro do cliente, apesar de detectado no servidor. Foi o cliente (o usuário, não o software que ele está usando) que informou credenciais incorretas.

1

Um usuário havia postado uma resposta, porém ele a apagou. Pessoalmente, não concordo com ela porque não acho correto retornar 200 em caso de erro, mas de qualquer forma, copio a resposta apagada dele aqui do jeito que estava quando foi apagada para que o conteúdo não seja perdido:

Depois de ler sobre o assunto:

eu ficaria com a resposta encontrada no último:

There’s a lot of smart people at Facebook and they built an API that only ever returns 200.

The basic argument against bothering with specific status codes is this: the existing status codes are much too general for a modern website/API

Traduzindo: Os códigos de status são muito vagos para as aplicações modernas.

A Microsoft apresenta 25 possíveis situações para o Código 400.

0

Eu iria de 500. Explico.

Pense que quem está integrando com sua API "A" não se importa - pelo que entendi da sua pergunta - com a autenticação para estas APIs internas. O fato é que o usuário da sua API tentou fazer uma requisição e não conseguiu completá-la.

Como uma 401 é mais esperada para a request atual e todos 4xx são Client Errors, eu trataria este problema como um erro imprevisto no servidor. Ou seja, um erro 500. Como está no link que enviou:

The server encountered an unexpected condition that prevented it from fulfilling the request.

Parece ser uma condição inesperada. Não há nada que o usuário possa fazer no rest service de "A" e o suporte (ou equipe de desenvolvimento) precisará atuar para resolver a situação. Para ajudar, adicione ao retorno do erro uma mensagem (ou código de erro) com a explicação: a autenticação a um sistema interno não foi possível de ser completada por um problema de usuário ou senha para a API B/C/D (se puder fornecer estes detalhes, claro).

Mesmo que não concorde com a minha resposta, tenha em mente que nem sempre você vai encontrar o código HTTP ideal para o seu problema. Um exemplo: qual código HTTP usar para validar se um campo de um cadastro é maior que o permitido? Verá que há uma boa discussão na Internet sobre isto.

O ideal é escolher o código HTTP que fizer mais sentido para você e estabelecer ele como padrão para o problema que está resolvendo.

2
  • Não concordo. O erro no caso é culpa do cliente, e não do servidor. E também não é um erro imprevisto. Pensando bem, o meu problema corresponde a uma classe de erros onde a requisição não obtém sucesso porque o cliente deve primeiramente realizar outras ações antes de tentar efetuar a requisição novamente (ações essas que não são simplesmente se autenticar no servidor). Assim sendo, tendo a pensar que um código 4xx seria adequado. Quanto à validação, sei que há um debate forte entre o 400, o 422 e outras alternativas. 4/05/2017 às 22:05
  • @VictorStafusa, se o cliente pode tomar alguma ação, creio possa entender como ClientError mesmo (4xx). Preciso olhar deste ponto de vista o problema novamente, mas parece que o 401 seria a melhor escolha.
    – Dherik
    15/05/2017 às 18:17
-1

Realmente não parece ter um código que atenda essa situação, já que no seu caso a requisição será processada corretamente.

Acredito que código 200 seja o mais indicado, com uma mensagem de erro personalizada.

1
  • Código 200 é OK, significa que tudo está certo, sinal verde, etc. A situação requer um código de falha de autenticação ou erro interno do servidor. 26/04/2017 às 14:29

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .