404 vs 403, wenn der Verzeichnisindex fehlt

Dies ist hauptsächlich eine philosophische Frage über die beste Art, die HTTP-Spezifikation zu interpretieren. Sollte ein Verzeichnis ohne Verzeichnisindex (z. B. index.html) 404 oder 403 zurückgeben? (403 ist der Standard in Apache.)

Angenommen, die folgenden URLs sind vorhanden und verfügbar:

Aber es gibt nichts an:

(Angenommen, wir verwenden 301-Zeichen, um nachfolgende Schrägstriche für alle URLs zu erzwingen.)

Ich denke, mehrere Dinge sollten berücksichtigt werden:

• Standardmäßig gibt Apache in diesem Szenario 403 zurück. Das ist wichtig für mich. Sie haben über dieses Zeug nachgedacht, und sie haben die Entscheidung getroffen, 403 zu verwenden.
• Laut W3C bedeutet 403 "Der Server hat die Anfrage verstanden, weigert sich aber, sie zu erfüllen." Ich nehme an, dass Sie 403 zurückgeben sollten, wenn die URL sinnvoll, aber dennoch verboten ist.
• 403 kann zur Offenlegung von Informationen führen, wenn der Client richtigerweise vermutet, dass die URL einem realen Verzeichnis auf der Festplatte zugeordnet ist.
• http://example.com/files/ ist keine Ressource und die Tatsache, dass sie intern einem Verzeichnis zugeordnet ist, sollte für den Statuscode nicht relevant sein.
• Wenn Sie das URL-Schema so interpretieren, dass es eine Verzeichnisstruktur aus der Kundenperspektive definiert, ist die interne Implementierung immer noch irrelevant, aber vielleicht sollte die äußere Erscheinung etwas mit den Statuscodes zu tun haben. Vielleicht sollten Sie auch dann, wenn Sie die gleiche URL-Struktur ohne internes Verwenden von Verzeichnissen erstellt haben, immer noch 403s verwenden, da es sich um die Wahrnehmung einer Verzeichnisstruktur durch den Client handelt.

Was halten Sie in der Bilanz für den besten Ansatz? Sollten wir nur sagen: "Eine Ressource ist eine Ressource, und wenn sie nicht existiert, ist es eine 404?" Oder sollten wir sagen, "wenn es Schrägstriche hat, sieht es wie ein Verzeichnis für den Client aus, und daher ist es ein 403, wenn es keinen Index gibt?"

Wenn Sie im Camp 403 sind, denken Sie, Sie sollten sich alle Mühe geben, 403s zurückzugeben, auch wenn die interne Implementierung keine Verzeichnisse verwendet? Angenommen, Sie haben beispielsweise eine dynamische Webanwendung mit dieser URL: http://example.com/users/joe , die einem Code zugeordnet ist, der die Profilseite für Joe generiert. Angenommen, Sie schreiben nichts, das alle Benutzer auflistet, sollte http://example.com/users/ 403 zurückgeben? (Viele, wenn nicht alle Web-Frameworks geben in diesem Fall 404 zurück.)