401과 403이 섞여 보일 때 무엇부터 확인하시나요?

API 접근 오류에서 인증 문제와 권한 문제를 먼저 분리하는 방법을 묻는다.

API 오류를 볼 때 401과 403이 비슷하게 느껴져서 처음부터 인증 코드를 고치고 싶어질 때가 있습니다. 저는 먼저 요청에 토큰이 실제로 붙었는지, 토큰이 만료됐는지, 같은 토큰으로 읽기 요청은 되는지, 특정 record에서만 막히는지를 나눠 봅니다. 특히 staging에서만 실패하면 base URL이나 환경 변수도 같이 확인합니다. 브라우저 요청과 curl 요청의 결과가 같은지도 먼저 보려고 합니다. 여러분은 401과 403이 번갈아 보일 때 어떤 순서로 확인하시나요?