nicht angemeldet
Security by Obscurity also – wozu? Dass das Unfug ist, sollte doch klar sein.
Wenn der Nutzer nicht berechtigt ist, auf eine Ressource zuzugreifen – dann antworte mit einem *passenden* Statuscode – entweder 403 Forbidden, oder 401 Unauthorized
So klar ist das gar nicht. Du gehst davon aus, dass alle URLs auf allen Hosts für alle bekannt und sichtbar sein sollen. Das ist nicht der Fall. Viele Inhalte sind privat, haben aber URLs, weil wir uns im Web befinden. Wenn der Server nicht 404 zurückgibt, ist es sehr einfach, durch Crawler alle privaten URLs herauszubekommen. Die URLs können bereits Aufschluss über Inhalte geben. Wenn sie das nicht täten, wären es schlechte URLs.
Mathias
Der Martin