英語版のStackOverflowでも同じ質問がありました。参考になるかと思います。
REST standard for GET on a resource that doesn't exist
ユーザー私の考えでは、ユーザーが存在するかどうかを特定できるとセキュリティ上の問題になる場合は400で、そうでなければ404(ユーザーが存在しないことを区別できるようにエラーコードを分ける)が適当かなぁと思います。
ユーザーが存在するかどうかを特定できるとセキュリティ上の問題になる場合は400で、そうでなければ404が適当かなぁと思います。
私の考えでは、ユーザーが存在するかどうかを特定できるとセキュリティ上の問題になる場合は400で、そうでなければ404(ユーザーが存在しないことを区別できるようにエラーコードを分ける)が適当かなぁと思います。