4. 状态码 200 302 400 401 403 404 500 怎么理解

HTTP 状态码是接口测试和抓包定位中最常见的判断依据。很多测试同学看到接口返回 200 就认为成功，看到 500 就认为后端 Bug，看到 404 就说接口不存在。这样的理解太粗。状态码只能说明 HTTP 层面的结果，真正定位问题还要结合请求参数、响应体业务 code、Header、日志、网关和数据库状态。

面试中问 200、302、400、401、403、404、500，面试官想看你是否能把状态码和项目排查结合起来。你要能解释每个状态码大致含义，更要能说明在测试中遇到这些状态码怎么定位。尤其是 401 和 403 的区别、HTTP 200 和业务成功的区别、404 是前端路径还是后端路由问题、500 如何结合日志排查，这些都是高频追问。

一、状态码在测试中的作用

HTTP 状态码是服务端对请求处理结果的一个标准化反馈。它可以帮助测试快速判断问题方向：

请求是否成功到达服务端；
是否发生重定向；
请求参数是否有问题；
是否未登录或无权限；
接口路径是否不存在；
服务端是否异常。

但状态码不是最终结论。很多系统会统一返回 200，再用响应体中的 code 表示业务成功或失败。所以测试不能只看状态码。

二、200 怎么理解

200 OK 表示 HTTP 请求成功。服务端正常返回了响应。

但要注意：HTTP 200 不代表业务成功。

例如：

{
  "code": 4001,
  "message": "库存不足",
  "data": null
}

HTTP 状态码是 200，但业务是失败的。

测试中遇到 200，要继续看：

业务 code 是否成功；
message 是否符合预期；
data 字段是否正确；
数据库状态是否变化；
页面展示是否和响应一致。

面试可以说：200 是 HTTP 层成功，业务是否成功要看响应体和业务规则。

三、302 怎么理解

302 Found 表示临时重定向。浏览器会根据响应头中的 Location 跳转到另一个地址。

常见场景：

未登录访问页面，被重定向到登录页；
HTTP 跳转 HTTPS；
旧地址跳转新地址；
OAuth 或第三方登录跳转；
网关或 Nginx 配置跳转。

测试中如果接口请求返回 302，要看 Location 指向哪里。比如接口自动化访问某个需要登录的接口，结果返回 302 到登录页，说明登录态可能失效。

常见误区是把 302 当成接口成功。实际上业务接口返回 302，往往说明请求被重定向，不一定拿到了预期数据。

四、400 怎么理解

400 Bad Request 表示客户端请求有问题，常见原因是参数格式错误、必填参数缺失、JSON 格式不合法、字段类型不匹配。

测试排查 400 时重点看：

请求参数是否符合接口文档；
JSON 是否合法；
Content-Type 是否正确；
必填字段是否缺失；
字段类型是否正确；
URL 参数是否编码正确。

例如接口要求：

{
  "quantity": 2
}

前端传成：

{
  "quantity": "abc"
}

就可能返回 400。

五、401 怎么理解

401 Unauthorized 表示未认证。简单说，就是系统不知道你是谁，或者登录态无效。

常见原因：

未登录；
Token 缺失；
Token 过期；
Token 格式错误；
Cookie 丢失；
Authorization Header 没带；
登录态被清除。

测试排查 401 时要看请求 Header：

Authorization: Bearer xxx
Cookie: JSESSIONID=xxx

如果 Header 没带，可能是前端问题、接口工具未配置、自动化脚本没有传 Token。如果带了但仍 401，可能是 Token 过期或服务端鉴权失败。

六、403 怎么理解

403 Forbidden 表示已认证但无权限。也就是说，系统知道你是谁，但你没有权限访问这个资源。

常见场景：

普通用户访问管理员接口；
用户 A 查询用户 B 的订单；
没有菜单权限；
没有操作权限；
IP 白名单限制；
角色权限配置错误。

401 和 403 的区别是面试重点：

401：未登录或认证失败；
403：已登录但权限不足。

测试权限时，要分别覆盖未登录、普通用户、管理员、越权访问等场景。

七、404 怎么理解

404 Not Found 表示资源不存在。接口测试中常见原因：

URL 路径写错；
接口未发布；
网关路由未配置；
服务版本不对；
请求方法不匹配；
前端调用旧接口；
Nginx 转发路径错误。

注意，404 不一定是后端代码没有接口，也可能是网关或前端路径问题。

排查时可以看：

请求 URL 是否正确；
请求方法是否正确；
接口文档是否一致；
服务是否部署新版本；
网关是否转发到正确服务；
后端日志是否收到请求。

如果后端日志完全没有请求，可能请求没到服务。

八、500 怎么理解

500 Internal Server Error 表示服务端内部错误。

常见原因：

空指针异常；
数据库异常；
SQL 错误；
第三方接口超时；
配置错误；
Redis/MQ 连接失败；
文件权限问题；
代码逻辑异常。

测试遇到 500 时不能只提“接口 500”。要记录：

请求时间；
请求 URL；
请求参数；
请求 Header；
响应体；
业务 ID；
后端日志关键异常。

这样开发才能快速定位。

九、状态码和业务 code 的关系

很多公司接口返回：

{
  "code": 0,
  "message": "success",
  "data": {}
}

这里 HTTP 状态码和业务 code 是两层含义。

HTTP 状态码表示请求层结果；业务 code 表示业务处理结果。

例如：

HTTP 200 + code 0：业务成功；
HTTP 200 + code 4001：业务失败；
HTTP 401：认证失败；
HTTP 500：服务异常。

测试断言时，不能只断言 HTTP 状态码，还要断言业务 code 和关键字段。

十、面试回答模板

如果面试官问这些状态码怎么理解，可以这样回答：

我会把状态码当成 HTTP 层面的判断依据，但不会只看状态码。200 表示请求成功到达并返回，但业务是否成功还要看响应体 code；302 是重定向，要看 Location；400 多是请求参数、格式或 Content-Type 问题；401 是未认证，比如 Token 缺失或过期；403 是已认证但无权限；404 是资源不存在，可能是路径、方法、路由或版本问题；500 是服务端异常，需要结合请求参数和后端日志定位。测试中我会通过状态码先判断方向，再结合业务 code、响应体、Header、日志和数据库确认根因。

用 Postman 观察 200 响应；
模拟未登录接口 401；
模拟无权限接口 403；
请求错误路径观察 404；
构造错误参数观察 400；
观察登录失效是否 302；
区分 HTTP 状态码和业务 code；
为接口自动化添加状态码断言；
为接口自动化添加业务 code 断言；
准备状态码面试回答。

状态码是定位方向，不是最终结论。优秀测试工程师会用状态码快速缩小范围，再结合请求、响应、日志和业务数据完成定位。

配套刷题：

网络协议测试面试题

4. 状态码 200 302 400 401 403 404 500 怎么理解

一、状态码在测试中的作用

二、200 怎么理解

三、302 怎么理解

四、400 怎么理解

五、401 怎么理解

六、403 怎么理解

七、404 怎么理解

八、500 怎么理解

九、状态码和业务 code 的关系

十、面试回答模板

十一、常见追问

追问：401 和 403 区别？

追问：HTTP 200 是否代表接口成功？

追问：404 一定是后端没有接口吗？

追问：500 怎么提 Bug？

十二、练习清单