通用面试题：如何区分 HTTP 511、401 和 407？

题干与适用场景

一批用户在酒店或机场网络中访问 API，代理返回 511 Network Authentication Required，有人却把它改成了 401 或 302，导致 SDK 重试、缓存和登录流程混乱。请说明 511 的责任边界、与 401/407 的区别，以及如何让浏览器、移动端和非浏览器客户端安全恢复。

这道题适合通用后端、网络和平台岗位。重点是识别拦截代理与源站的边界，不把网络准入认证误当成应用账号认证。

面试官考察点

强回答会指出 511 通常由控制网络访问的拦截代理生成，表示客户端需要先完成网络准入；401 是源站或受保护资源要求认证，407 则是代理要求客户端提供代理凭据。还应说明 511 不是应用登录成功、不能由源站随意伪造，也不能让 API 客户端盲目跟随 HTML 跳转。

回答前需要澄清的问题

511 是哪一跳生成的，客户端是否能区分本地代理和源站响应？
这是浏览器页面、原生移动端、命令行还是后台服务？
网络登录页是否有稳定的检测地址和返回协议？
API 请求是否可重试，重试前如何确认网络已经放行？
是否涉及 TLS、证书固定、代理认证或敏感凭据传输？

30 秒回答框架

“511 表示网络准入层要求认证，通常由拦截代理生成；401 是资源本身要求应用认证，407 是代理要求代理凭据。不能把 511 改成 302 或让 SDK 直接把 HTML 当 JSON。浏览器可以展示受控的网络登录提示，非浏览器客户端应返回结构化网络状态、停止盲目重试，并在网络确认放行后重新发起原请求。全程不向未知登录页发送应用凭据。”

分步骤深入解答

第一步：定位 511 的生成者

RFC 6585 定义 511 用于表示客户端需要认证才能获得网络访问，MDN 明确它不是由源站生成，而是由控制网络的拦截代理生成。常见场景包括公共 Wi-Fi 接受条款、门户登录或设备登记。响应链路应记录代理和网络环境，但不能假设客户端总能可靠识别中间设备。

第二步：区分 401

401 表示请求缺少目标资源所需的有效认证凭据，通常由源站配合 WWW-Authenticate 挑战。客户端可以根据应用协议刷新令牌或提示登录。它表达的是资源权限问题，不代表本地网络尚未放行。

第三步：区分 407

407 是代理认证要求，客户端应根据 Proxy-Authenticate 提供 Proxy-Authorization。代理凭据与应用账号凭据属于不同信任域，不能把 407 当成 401，也不能把用户密码塞进代理头。企业代理和公共网络的凭据存储策略应单独设计。

第四步：为什么不能直接返回 302

302 会把客户端引向另一个 URL，浏览器可能跟随，但 API SDK、Webhook 消费者和缓存层可能把登录 HTML 当成业务响应。跨域门户还可能泄露请求上下文。若确需浏览器门户，应该在受控导航流程中打开登录页，登录完成后再重新请求原资源，而不是让任意 API 响应隐式跳转。

第五步：设计浏览器处理

浏览器可以展示明确的网络登录提示，提供门户入口和重试动作。门户页面不能要求用户输入应用密码，也不能把 OAuth 回调 token 暴露给不受信任的代理。登录完成后，通过网络检测确认访问已放行，再重新加载原始页面。

第六步：设计非浏览器客户端处理

移动端、命令行和后台服务应识别 511，记录网络准入状态并停止指数重试。客户端可调用受信任的网络检测接口，或把状态交给系统网络层；检测成功后再重发具备幂等语义的请求。对不可重试的写请求，必须避免因门户未完成而重复提交。

第七步：处理 TLS 与安全边界

HTTPS 连接中，拦截代理通常无法安全伪造源站内容，除非设备或企业安装了受信任的中间证书。客户端不应为了“自动登录”关闭证书校验。任何门户地址、证书和重定向策略都要经过产品和安全审核，尤其是会话、支付和管理 API。

第八步：验证、监控与恢复

用真实公共网络和模拟代理测试浏览器、原生端、CLI、后台任务、缓存和重试。记录 511 比例、网络区域、门户完成率、恢复后的首个请求成功率和重复写请求。验收还要确认 401/407 仍按各自契约处理，511 不会被缓存成长期错误页面。

设计取舍与边界

511 的价值是让客户端知道阻塞来自网络准入，而不是源站账号；但中间代理环境并不总是可观测或可信。应用应把它作为恢复提示，不把它当成身份认证成功证明。对于 API，稳定的错误结构和停止重试比自动打开未知页面更安全。

不要把所有无法访问都映射成 511。源站登录用 401，代理凭据用 407，限流用 429，网络连接失败可能根本没有 HTTP 响应。状态码必须反映实际生成层和恢复动作。

落地计划与证据

先在测试网络中确认 511 的响应头、正文、缓存行为和生成代理，再为每种客户端定义状态机：检测、提示、等待放行、重试和失败上报。浏览器使用受控门户，非浏览器交给系统网络层或运维，不把应用凭据交给页面。

建立指标面板和采样日志，按网络、客户端版本和请求方法分析。对写请求增加幂等键或明确不可重试契约；对读请求在网络恢复后重新获取。每次门户供应商或代理策略变更都运行全套验收。

常见误区与追问

把 511 当成 401

511 是网络准入问题，401 是资源认证问题。两者的挑战头、凭据和恢复流程属于不同信任域。

让 SDK 自动跟随 302

向门户发送应用密码

公共网络代理不应接触应用凭据。门户只完成网络准入，应用账号认证仍走源站协议。

对 511 无限重试

网络尚未放行时重试只会放大流量，写请求还可能重复。暂停重试，等待受信任的放行信号并使用幂等语义。

如何测试非浏览器客户端？

在模拟代理和真实公共网络中覆盖 CLI、移动端、后台任务、缓存和恢复后的读写请求，检查 511 识别、停止重试、门户完成和重复提交指标。