401 Unauthorized 表示请求缺少目标资源所需的有效身份验证凭据。尽管名为“未授权”，它涉及的其实是身份验证（“是谁在访问？”），而不是授权。服务器必须发送带有至少一个质询的 WWW-Authenticate 响应头，例如 Basic realm="Staging" 或 Bearer，告诉客户端如何进行身份验证。
如果请求中已经带有凭据，401 就表示凭据被拒绝：密码错误或令牌已过期。对于 Basic 和 Digest 质询，浏览器会弹出登录对话框。API 在令牌缺失或无效时返回 401，让客户端可以获取新令牌后重试。
如果用户身份已知但没有权限，应使用 403 Forbidden；如果要求身份验证的是代理而不是源服务器，应使用 407。
响应示例
HTTP
HTTP/1.1 401 Unauthorized
Date: Fri, 06 Nov 2026 10:15:32 GMT
WWW-Authenticate: Basic realm="Staging", charset="UTF-8"
Content-Type: text/plain; charset=utf-8
Content-Length: 23
Authentication requiredSEO 与重定向检测
需要身份验证的页面无法被编入索引：爬虫不会登录，返回 401 的 URL 会和其他 4xx 错误一样处理。对于预发布网站、管理后台和私密内容来说，这正是想要的结果；比起 robots.txt，HTTP 身份验证能更可靠地让预发布网站远离搜索结果。要确保正式网站没有意外保留预发布环境的密码，也绝不要在公开页面上向爬虫返回 401。
要用 TrueURL 检测受保护的 URL，可以在“自定义请求头”中添加 Authorization 请求头。请为此使用测试凭据。
常见原因与使用场景
- 预发布网站或管理后台使用 HTTP Basic 身份验证保护。
- API 令牌缺失、已过期或已被吊销。
- 会话已过期，API 返回 401，而不是重定向到登录页。
- 凭据在重定向过程中丢失：当重定向指向另一个主机时，许多客户端会丢弃
Authorization请求头。