회원제 웹사이트에서 로그인한 일반 회원이 관리자에게만 허용된 페이지를 요청했다. 서버는 이용자가 누구인지 확인했지만, 이 페이지에 대한 접근은 허가하지 않는다. 이때 돌려줄 상태 코드로 가장 적절한 것은?

정답: B. 403 Forbidden

403 Forbidden은 서버가 요청을 이해한 뒤 접근을 허가하지 않음을 나타냅니다. 401 Unauthorized는 이름과 달리 인증 정보가 없거나 올바르지 않음을 나타내는 코드로, WWW-Authenticate 헤더로 인증 방법을 알립니다. 이 상황에서는 이용자가 누구인지 확인되었고 부족한 것은 권한(인가)이므로 403이 해당합니다. 관리 화면이 있다는 것 자체를 알리고 싶지 않을 때 일부러 404를 돌려주는 설계도 있지만, 상황을 그대로 나타내는 것은 403입니다.