Чем аутентификация (authentication) отличается от авторизации (authorization)?
Что эти термины означают и когда какой надо использовать?
2 ответа
Аутентификация (authentication) проверяет подлинность (аутентичность) идентификационных данных пользователя - логина, пароля, или других эквивалентных им данных.
Когда пользователь Вася отправляет запрос на сервер, механизм аутентификации проверяет что это именно Вася. Аутентификация может заключаться в запросе и проверке пароля, проверке идентификатора сессии, IP-адреса, или другой информации, которая позволяет определить что пользователь является тем за кого он себя выдает.
Авторизация (authorization) - проверка полномочий пользователя. Пользователь может выполнять только те действия, на которые он авторизован.
Например пользователь Вася может только читать записи БД, а пользователь Маша может еще и добавлять новые записи.
Обычно авторизация производится для аутентифицированного пользователя. При аутентификации находится и подтверждается идентификатор пользователя, по которому определяется список его привилегий.
У автора ответа все круто и правильно написано. Я лишь попробую дать более краткие определения. Дело вкуса конечно, но, на мой взгляд, чем кратче определение, тем лучше оно откладывается в голове.
Кроме того, когда мы говорим про аутенти(фи)кацию и авторизацию, то для полноты картины, на мой взгляд, обязательно надо упомянуть третью сущность - идентификацию. С нее и начну:
Identification - процесс выявления идентификатора однозначно идентифицирующего субъект в системе. Для этого этот идентификатор д.б. предварительно назначен, т.е. проведена регистрация субъекта в системе. Идентификация напрямую связана с аутентификацией: субъект проходит аутентификацию и если она успешна, то система на основе факторов аутентификации определяет идентификатор субъекта.
Authentication - проверка подлинности пользователя / клиента (Login Form, HTTP Basic и Digest Auth) или сервера (X.509 certificate).
Authorization - процесс проверки права аутентифицированного пользователя на доступ к ресурсу.