身份认证: 你是谁，who are you
授权：你能做什么， what can you do
身份认证和授权是信息安全中的两个重要概念，它们在保护系统和资源方面起着不同的作用。
-
身份认证（Authentication）：身份认证是验证用户或实体的身份是否有效和合法的过程。它用于确认用户或实体是谁，通常通过提供凭据来验证其身份。这些凭据可以是用户名和密码、数字证书、指纹识别、智能卡等。身份认证的目的是确保用户或实体声明的身份与其实际身份相符，从而防止未经授权的访问和欺骗。
-
授权（Authorization）：授权是在身份认证的基础上，根据用户或实体的身份和权限，决定其是否有权访问某个资源或执行某个操作的过程。授权是对用户或实体授予特定权限或权限级别的过程。授权机制通常基于访问控制策略和规则，用于限制和管理用户对系统资源的访问权限。授权可以通过角色授权、访问控制列表、权限组等方式实现。
简而言之，身份认证确定用户或实体的身份是否有效，而授权决定用户或实体是否具有访问特定资源或执行特定操作的权限。身份认证确保用户是合法的，授权控制用户可以执行的操作。这两个概念通常在系统和应用程序中同时使用，以实现安全访问和保护敏感数据。