HTTP-Methoden geben deine Absicht bezüglich einer Ressource an; Statuscodes sind die kodierte Antwort des Servers. Zwei Eigenschaften sind bei Methoden wichtig: safe (read-only, keine Seiteneffekte) und idempotent (die Wiederholung liefert dasselbe Ergebnis — wichtig für sichere Retries).
| Methode | Zweck | Safe | Idempotent |
|---|
| GET | Eine Ressource lesen | Yes | Yes |
| POST | Erstellen / Aktion auslösen | No | No |
| PUT | Eine Ressource ersetzen | No | Yes |
| PATCH | Teilweise aktualisieren | No | No* |
| DELETE | Eine Ressource entfernen | No | Yes |
| HEAD | Wie GET, nur Header | Yes | Yes |
Die Idempotenz-Unterscheidung ist praktisch: Weil PUT und DELETE idempotent sind, kann ein Client sie nach einem Timeout sicher wiederholen; einen nicht-idempotenten POST zu wiederholen riskiert, ein Duplikat zu erzeugen (ein klassischer Doppelabbuchungs-Bug).
Statuscodes werden nach ihrer ersten Ziffer gruppiert:
1xx Informational request received, continuing (100 Continue, 101 Switching)
2xx Success it worked (200 OK, 201 Created, 204 No Content)
3xx Redirection go elsewhere (301 Moved, 304 Not Modified)
4xx Client error YOUR request is wrong (400, 401, 403, 404, 429)
5xx Server error the SERVER failed (500, 502, 503, 504)
Die wichtigste Zeile ist die Trennung zwischen 4xx und 5xx: 4xx bedeutet, der Client hat etwas Falsches gesendet (schlechte Eingabe, nicht authentifiziert, nicht gefunden) — unverändert erneut zu senden hilft nicht; 5xx bedeutet, der Server ist gescheitert — ein Retry (mit Backoff) könnte gelingen. Kenne die alltäglichen aus dem Effeff: 401 (nicht authentifiziert) vs. 403 (authentifiziert, aber nicht erlaubt), 404 (nicht gefunden), 429 (rate limited), 500 (generischer Server-Crash), 502/503/504 (bad gateway / unavailable / gateway timeout — meist ein Upstream- oder Überlast-Problem).
Diese Codes sind der gemeinsame Vertrag zwischen jedem Client und Server, sodass Sicherheit hierin von jedem erwartet wird, der APIs baut oder konsumiert. Interviewer sondieren die Unterscheidungen, die echtes Verständnis offenbaren: 401 vs. 403, PUT vs. PATCH und besonders Idempotenz, die direkt regelt, ob Retries sicher sind — ein Kernanliegen in verteilten Systemen und Zahlungsabläufen. Den richtigen Statuscode zurückzugeben macht deine API außerdem vorhersehbar und korrekt behandelt von Caches, Proxies und Client-Bibliotheken, sodass dieses Wissen gutes API-Design formt, nicht nur Trivia.
Eine Sammlung von IT-Interviewfragen mit ausführlichen Antworten — vom Junior bis zum Senior.
Spenden