Forbidden

개요

403 Forbidden은 서버가 요청을 이해했지만 권한이 없어 처리를 거부한다는 뜻입니다. 401과 달리 신원 확인(인증)은 되었을 수 있으나, 그 신원에게 이 리소스에 대한 권한(인가)이 없는 상태이므로 다시 로그인해도 해결되지 않습니다.

역할·권한 부족, IP·지역·방화벽(WAF) 차단, 부족한 OAuth 스코프, 다른 사용자의 리소스 접근 시도 등이 대표적 원인입니다. 서버가 "당신이 누구인지는 알지만, 이 작업은 허용하지 않는다"고 말하는 셈입니다.

언제 발생하나

• 인증된 사용자가 자신의 역할로는 허용되지 않는 관리자 전용 작업을 시도할 때 반환됩니다.
• WAF나 IP·지역 차단 규칙에 걸리거나, 토큰에 필요한 OAuth 스코프가 없을 때 발생합니다.

요청 / 응답 예시

DELETE /api/orgs/9/members/17 HTTP/1.1
Host: api.example.com
Authorization: Bearer valid.token.for.viewer

HTTP/1.1 403 Forbidden
Content-Type: application/json

{"error":"forbidden","message":"Your role 'viewer' cannot remove members"}

코드로 보기

app.delete('/api/orgs/:o/members/:m', (req, res) => {
  if (req.user.role !== 'admin')
    return res.status(403).json({ error: 'forbidden' });
  // ...
});

@app.delete('/orgs/<int:o>/members/<int:m>')
def remove(o, m):
    if current_user.role != 'admin':
        abort(403)
    return '', 204

실무 참고

• 리소스의 존재 자체를 숨기고 싶을 때 서버가 403 대신 일부러 404를 반환하기도 합니다(정보 노출 최소화).
• 인증 자격이 아예 없거나 만료된 경우는 403이 아니라 401이 정확하며, 둘의 혼동은 흔한 API 설계 실수입니다.
• 법적 사유로 차단된 콘텐츠라면 403보다 451 Unavailable For Legal Reasons가 더 구체적입니다.

관련 상태코드

스펙 근거