Vorgeschlagener HTTP-REST-Statuscode für "Anforderungslimit erreicht"

Ich stelle eine Spezifikation für einen REST-Service zusammen, der zum Teil die Möglichkeit beinhaltet, Benutzer dienstweit und für Gruppen oder für einzelne Ressourcen zu drosseln. Ebenso können Zeitüberschreitungen für diese pro Ressource / Gruppe / Service konfiguriert werden.

Ich schaue mir nur die HTTP 1.1-Spezifikation an und versuche zu entscheiden, wie ich einem Client mitteilen möchte, dass eine Anforderung nicht erfüllt wird, weil er sein Limit erreicht hat.

Anfangs dachte ich, dass der Client-Code 403 - Forbiddenderjenige ist, aber dies aus der Spezifikation:

Die Autorisierung hilft nicht und die Anfrage SOLLTE NICHT wiederholt werden

störte mich.

Tatsächlich scheint 503 - Service Unavailablees besser zu sein, dies zu verwenden, da es die Kommunikation einer Wiederholungszeit durch die Verwendung des Retry-AfterHeaders ermöglicht.

Es ist möglich, dass ich in Zukunft versuchen werde, mehr Anfragen über E-Commerce zu "kaufen" (in diesem Fall wäre es schön, wenn der Client-Code 402 - Payment Requiredfinalisiert worden wäre!) - aber ich denke, dass dies auch zu einer 503-Antwort werden könnte.

Was denkst du, sollte ich verwenden? Oder gibt es eine andere, an die ich nicht gedacht habe?

429 Zu viele Anfragen

Der Benutzer hat in einem bestimmten Zeitraum zu viele Anfragen gesendet. Bestimmt für die Verwendung mit Ratenbegrenzungsschemata. Dieser Code wurde in RFC 6585 Zusätzliche HTTP- Statuscodes akzeptiert .

   The 429 status code indicates that the user has sent too many
   requests in a given amount of time ("rate limiting").

   The response representations SHOULD include details explaining the
   condition, and MAY include a Retry-After header indicating how long
   to wait before making a new request...

   Note that this specification does not define how the origin server
   identifies the user, nor how it counts requests.  For example, an
   origin server that is limiting request rates can do so based upon
   counts of requests on a per-resource basis, across the entire server,
   or even among a set of servers.  Likewise, it might identify the user
   by its authentication credentials, or a stateful cookie.

   Responses with the 429 status code MUST NOT be stored by a cache...

Bis zu einem gewissen Grad können Sie mit den Codes tun, was Sie möchten, aber ich stimme zu, dass Sie sie verwenden 503können oder wenn Sie möchten 402, ohne dass sich jemand beschweren kann, dass Sie etwas kaputt machen.

Bearbeiten: Ein Purist könnte sagen, dass Sie mit 503 beginnen und dann wechseln sollten, sobald es möglich ist, Zahlungen zu leisten.

Eine hervorragende Ergänzung dazu in den Kommentaren:

Ein 4xx zeigt einen Fehler des Clients an, der behoben werden kann, indem er eine bestimmte Aktion ausführt, während ein 5xx ein Problem auf dem Server anzeigt, bei dessen Behebung der Client nicht helfen kann. In Ihrem Fall ist ein 4xx besser geeignet, da sich (i) der Server genau so verhält, wie er sollte, und (ii) der Client den Fehler "beheben" kann, indem er entweder verlangsamt oder mehr Credits kauft. Die genaue Auflösung kann im Hauptteil der Antwort 429 angegeben werden. - Mike Chamberlain vor 7 Stunden