Aloha ;)

401 wäre aber Basic Auth Anforderung

Nö. Nicht unbedingt. Zitat von der von dir verlinkten Seite:

Wie die Authentifizierung durchgeführt werden soll, wird im „WWW-Authenticate“-Header-Feld der Antwort übermittelt.

Du hast also die gesamte Bandbreite der Authenticate-Methoden zur Verfügung, auch abseits von Basic Auth.

Natürlich ist das nicht unbedingt was du hören wolltest - denn tatsächlich ist hier zunächst mal die Frage, was du senden kannst, damit KEINE Abfrage aufkommt.

Du kannst dabei vielleicht Browserverhalten ausnutzen: Eine vollkommen unbekannte Authenticate-Methode führt (aktuell und wahrscheinlich auch in Zukunft) wohl dazu, dass nirgends ein Eingabefenster aufpoppt.

Daher hatte ich eher an 403 gedacht.

Zitat von der von dir verlinkten Seite:

Diese Entscheidung wurde – anders als im Fall des Statuscodes 401 – unabhängig von Authentifizierungsinformationen getroffen,

DAS ist auch nicht das, was du sagen willst. Das würde ja heißen: "Auch das einloggen hat keinen Sinn. So wie du gefragt hast, bekommst du diese Ressource nie!"

Wenn du ganz sicher gehen willst, dass die Browser sich richtig verhalten und du zwar vielleicht nicht viel, aber zumindest nichts falsches über dein Problem aussagst, dann nimm doch einen 400-er Fehler. Der ist generisch und behandelt damit alle denkbaren Sonderfälle, auch die, die keine Nummer tragen. Wenn du die Info mit dem möglichen Einloggen geben willst, würde ich zur 401-er Variante mit eigenem WWW-Authenticate raten.

Disclaimer: Meine Meinung. Andere mögen das für Bullshit halten ;)

Grüße,

RIDER