HTTP 상태 코드 (HTTP Status Code)

혼동하기 쉬운 코드 구분

401과 403의 구분이 대표적이다. 401 Unauthorized는 이름과 달리 인증(Authentication)의 실패, 즉 당신이 누구인지 모르겠다는 뜻이며 WWW-Authenticate 헤더로 인증 방법을 함께 안내해야 한다. 403 Forbidden은 인가(Authorization)의 실패, 즉 누구인지는 알지만 이 자원에 대한 권한이 없다는 뜻이다. 리다이렉션에서는 301과 302 외에 307 Temporary Redirect와 308 Permanent Redirect를 알아 두어야 한다. 302는 역사적인 이유로 재요청 시 POST가 GET으로 바뀌는 동작을 브라우저들이 허용해 왔는데, 307과 308은 원래 메서드와 본문을 반드시 유지하도록 명확히 규정한 코드다. 또 존재하지 않는 자원과 권한 없는 자원을 구분해서 응답하면 자원의 존재 여부가 노출되므로, 보안상 둘 다 404로 응답하는 설계도 실무에서 쓰인다. 502와 504는 리버스 프록시(Reverse Proxy) 구조에서 의미가 갈리는데, 502는 뒤쪽 서버가 이상한 응답을 준 것이고 504는 응답이 아예 늦은 것이므로 장애 원인 추적의 단서가 다르다.

API 설계에서의 활용

REST API에서는 성공과 실패를 본문이 아니라 상태 코드로 먼저 표현하는 것이 원칙이다. 모든 응답을 200으로 주고 본문의 success 필드로 구분하는 방식은 HTTP 캐시, 브라우저, 모니터링, 재시도 로직 같은 표준 인프라의 도움을 전부 포기하는 설계다. 생성에는 201과 Location 헤더를, 비동기 접수에는 처리 중임을 뜻하는 202 Accepted를, 삭제 성공에는 204를 쓰는 식으로 의미를 살리면 클라이언트 구현이 단순해진다. 오류 응답의 본문 형식으로는 문제의 유형과 상세를 표준 필드로 담는 Problem Details(RFC 9457) 형식이 권장된다. 재시도 정책도 코드에 따라 갈라야 한다. 4xx는 요청을 고치기 전에는 재시도가 무의미하지만, 429와 503은 Retry-After를 존중한 지수 백오프(Exponential Backoff) 재시도가 적절하다.

면접에서 이렇게 물어본다

• 상태 코드의 다섯 부류를 설명하고 각 부류의 대표 코드를 들어 보라.
• 401과 403의 차이를 인증과 인가 개념으로 설명해 보라.
• 301, 302, 307, 308의 차이는 무엇인가.
• 모든 응답을 200으로 주고 본문으로 성공 여부를 표현하는 설계의 문제점을 말해 보라.
• 클라이언트의 재시도 로직을 설계할 때 상태 코드를 어떻게 활용하겠는가.