Какой код состояния возвращается, когда пользователь аутентифицирован, но не авторизован?

В системе существует два типа пользователей: учителя и ученики.

Правило:

• Только учителя могут создавать проекты, получая доступ /new/project, Когда это происходит, код состояния ответа 200,

Проблема:

В REST scenerios, если студенты пытаются получить доступ к /new/project какой код статуса должен быть возвращен в:

• Ajax-запросы
• «Нормальные» запросы

Студенты должны быть перенаправления (302)?

Студенты должны увидеть не найденную страницу (404) как GitHub делает?

Как насчет статуса 403?