认证与授权的区别与联系
认证（Authentication）与授权（Authorization）对比表格：
| 维度 | 认证（Authentication） | 授权（Authorization） |
|---|---|---|
| 定义 | 验证用户 / 系统身份的真实性 | 验证已认证用户的操作权限 |
| 核心要素 | 用户名、密码、证书、生物特征等身份凭证 | 角色（Role）、权限（Permission）、资源（Resource） |
| 技术实现 | OAuth 2.0、OpenID Connect、JWT、LDAP、Kerberos | RBAC（基于角色的访问控制）、ABAC（基于属性的访问控制）、ACL（访问控制列表） |
| 执行顺序 | 先于授权执行（必须先通过认证才能进入授权环节） | 在认证之后执行（对已认证的用户分配权限） |
| 输出结果 | “用户已认证”（验证成功）或 “认证失败” | “允许访问资源” 或 “拒绝访问” |
| 典型场景 | 登录页面、双因素认证（2FA） | 权限管理界面、API 接口访问控制、文件读写权限 |
| 管理主体 | 认证服务器（如 Okta、Auth0）或身份提供者（IdP） | 系统内部的授权模块或策略引擎 |
| 用户可见性 | 直接与用户交互（如登录表单、验证码） | 通常在后台控制，用户仅感知结果（如 “无权限访问” 提示） |
认证（Authentication与 授权（Authorization的对比说明，核心实体信息如下： - 认证：验证用户/系统身份，涉及用户名、密码等，通过OAuth 2.0等协议，需先于授权，输出“用户已认证”，典型场景是登录。 - 授权：验证认证用户的操作权限，涉及角色、权限等，通过RBAC（基于角色的访问控制）等实现，认证后执行，输出“允许/拒绝访问资源” ，常由系统策略内部控制 。 - 关联：认证是授权前提，授权可独立于认证存在（实际流程中认证一般先发生），分别由认证服务器、授权服务器管理，认证交互对用户可见（如登录页），授权多后台控制。