Quindi ho diversi senior che assumono posizioni diverse su questo. Alcuni dicono che non nascondono nulla, quei codici ci sono per una ragione. Altri dicono di nascondere la maggior parte dei codici di stato, riducendo il numero a un gruppo molto più piccolo (come solo 400 e 404). Anche RFC 2616 suggerisce che sono consentite alcune sostituzioni (403 viene trattato come un 404 per una risorsa che il server Web non fornirà mai e non spiegherà mai perché).
Non sto parlando della pagina degli errori che l'utente vede. Ovviamente questo dovrebbe apparire piacevole per l'utente e non dovrebbe scaricare una traccia stack, ecc. Sto parlando dello stato http incluso nella risposta. Significa che se provano ad accedere a una risorsa per la quale non sono autorizzati, invece di dare un 401/403, in realtà la risposta è un 404, quindi non c'è modo di sapere che c'era qualcosa per cui non erano autorizzati.
C'è una risposta chiara su quale è la pratica migliore (ti piace come è meglio non ripetere il tuo hashing della password)?