так, давай лучше кто-нибудь мне расскажет, какую все-таки ошибку сервер должен вернуть при авторизации с неправильными креденшиалами? :D
Точно не я. Потому что я считаю что это транспортный уровень и он успешно отработал. Поэтому 200, а внутри уже код и сообщение об ошибке которые тебе хочется. Изначально все эти правила были созданы для унификации между разными клиентами.
А сейчас выходит так что все под них пытаются подстраиваться, даже в ущерб удобству. Иногда до смешного доходит что создают доп. слои чтобы были, всё по канонам, но при этом внутри всё равно передают доп. данные и проверяют именно их.